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内 容 简 介 


本 书 主要 介绍 的 是 针对 中 小 型 企业 的 网 络 管理 和 网 络 安全 技术 ， 为 了 使 读者 清晰 系统 地 认识 网 络 管理 和 
网 络 安全 ， 本 书 将 两 者 分 为 17 章 分 别 讲解 。 在 内 容 组 织 上 ， 网 络 管理 首先 从 网 管 基础 开始 介绍 ， 包 括 网 络 管 
理 协议 的 介绍 ; 其 次 以 现实 网 络 管理 工程 案例 为 背景 进行 需求 分 析 及 施工 方案 设计 ， 给 出 网 络 管理 过 程 中 要 
实施 的 管理 模块 ; 然后， 后 面 章 节 的 内 容 根据 前 面 需求 分 析 给 出 的 管理 模块 分 别 进 行 实现 。 网 络 安全 的 内 容 
组 织 形式 和 网 络 管理 相似 。 这 种 方式 可 以 使 读者 循序 渐进 地 学 习 ， 同 时 也 可 以 让 读者 系统 地 了 解 现实 网 络 管 
理 及 网 络 安全 工程 的 施工 流程 等 内 容 ， 便 于 读者 举一反三 ， 胜 任 中 小 型 企业 的 网 络 管理 工作 。 随 书 光盘 中 赠 
送 了 20 小 时 培训 班 形式 的 视频 教学 录像 ， 真 正体 现 本 书 “ 完 全 ”的 含义 ， 令 其 物 超 所 值 。 

本 书 内 容 丰 富 全 面 ， 图 文 并 成 ， 深 入 浅 出 ， 使 读者 能 够 理解 网 络 管理 的 精髓 ， 并 能 解决 实际 生活 或 工作 
中 的 问题 ， 真 正 做 到 知 其 然 更 知 其 所 以 然 。 它 适用 于 对 中 小 型 企业 管理 感 兴趣 的 零 基 础 读者 ， 计 算 机 网 络 技 
术 、 网 络 工 程 、 网 络 安全 相关 专业 的 学 生 ; 以 及 具有 一 定 的 网 络 基础 知识 ， 熟 悉 网 络 路 由 交换 技术 ， 熟 悉 网 
络 服务 器 技术 ， 能 够 实现 简单 网 络 搭建 ， 对 网 络 管理 技术 、 网 络 安全 技术 感 兴趣 的 工程 师 。 
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随 着 网 络 技术 的 发 展 ， 中 小 型 企业 对 于 网 络 的 管理 与 安全 越 来 越 重 视 ， 因 此 很 多 企业 希望 能 
招聘 到 有 较 高 技术 水 平 、 实 践 能 力 的 工程 师 。 面 对 这 种 社会 需求 , 很 多 学 校 也 开设 了 网 络 管理 及 网 
络 安全 课程 ,但 是 其 中 的 网 络 管理 课程 一 般 都 是 简单 网 络 扫描 软件 的 介绍 , 而 在 网 络 安全 课程 方面 ， 
大 都 以 安全 技术 为 主要 内 容 ， 比 如 加 密 、 认 证 、 安 全 协议 介绍 等 ， 对 现实 中 的 企业 安全 管理 设备 环 
境 的 架设 涉及 比较 少 。 除 此 之 外 ， 在 校 学 生 大 都 停留 在 技术 学 习 层面 ， 对 现实 网 络 工程 了 解 甚 少 ， 
设备 选 型 、 项 目 施工 流程 等 内 容 大 都 处 于 空白 状态 。 

结合 以 上 问题 ， 如 何 让 有 意向 成 为 网 络 工程 师 、 网 络 管理 员 、 网 络 安全 工程 师 的 人 ， 在 负担 
较 小 经 济 压 力 的 前 提 下 学 到 有 价值 的 东西 ， 成 为 了 社会 的 主要 需求 。 

而 本 书 就 是 针对 这 一 需求 定制 的 。 作 者 在 网 络 工程 、 网 络 管理 、 网 络 安 全 方面 从 事 了 多 年 研 
究 及 毕业 生 培 训 、 实 训 工 作 ， 本 书 由 实 训 经 验 和 企业 网 络 环境 总 结 而 来 。 


本 书 内 容 


本 书 主要 介绍 的 是 针对 中 小 型 企业 的 网 络 管理 和 网 络 安全 技术 ， 并 基于 Windows 的 操作 系统 
台 。 本 书 将 利用 理论 联系 实际 的 方法 ， 通 过 典型 的 实例 向 大 家 介绍 网 络 管理 的 知识 。 
第 1 章 介绍 网 络 管理 的 技术 基础 ， 包 括 网 络 管理 的 五 大 职能 、 体 系 结构 和 网 络 管理 实现 模式 
分 析 等 内 容 。 
第 2 章 介 绍 SNMP 网 络 管理 协议 及 其 配置 等 。 读 者 想 要 高 效 的 完成 网 络 管理 任务 ， 首 先 需要 
掌握 SNMP 协议 的 运行 原理 及 相关 运用 技术 。 
第 3 章 介绍 中 小 型 企业 网 络 管理 项 目的 需求 分 析 和 实施 流程 。 读 者 想 要 实现 完善 的 网 络 管理 
体系 ， 必 须 掌 握 网 络 管理 方案 的 设计 原理 。 
第 4 章 介 绍 网 络 基本 信息 的 获取 方法 ， 并 通过 两 个 项 目 实例 进行 详细 讲解 。 
第 5 章 介绍 主流 网 络 管理 平台 的 架设 和 应 用 ， 使 读者 掌握 高 效 管理 网 络 的 方法 。 
第 6 章 介 绍 服务 器 远程 监控 与 管理 ， 使 读者 掌握 高 效 管理 远程 服务 器 的 方法 。 
第 7 章 介 绍 网 络 流量 监测 分 析 的 工具 及 其 使 用 方法 ， 使 读者 掌握 利用 流量 监测 分 析 工 具 发 现 
网 络 异常 的 方法 。 
第 8 章 介绍 企业 网 络 主流 监控 产品 及 其 使 用 方法 ， 使 读者 掌握 利用 网 络 监控 产品 进行 网 络 监 
管 的 方法 。 
第 9 章 介 绍 网 络 安全 的 基础 知识 ， 包 括 攻击 类 型 及 防护 策略 。 
第 10 章 介绍 企业 网 络 安全 项 目 分 析 和 实施 流程 ， 使 读者 掌握 中 小 型 企业 网 络 安全 方案 的 设计 原理 。 
第 11 章 介绍 Windows Server 2008 系统 安全 及 策略 ， 使 读者 掌握 系统 安全 的 配置 方法 。 
第 12 章 介绍 网 络 设备 安全 概述 及 其 配置 。 
第 13 章 介 绍 无 线 网 络 安全 现状 及 其 实施 措施 ,使 读者 掌握 小 型 无 线 局 域 网 的 使 用 及 安全 配置 。 
第 14 章 介 绍 企业 防火 墙 架设 及 配置 ， 使 读者 掌握 中 小 型 企业 防火 墙 的 架设 与 应 用 方法 。 
第 15 章 介 绍 反 病 毒 系统 及 其 配置 实例 ， 使 读者 掌握 解决 企业 病毒 威胁 的 方法 。 
第 16 章 介 绍 VPN 技术 的 概述 及 分 类 ， 使 读者 掌握 使 用 VPN 技术 保证 信息 在 互联 网 安全 传输 
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的 方法 。 
第 17 章 介绍 入 侵 检 测 系统 的 概述 及 分 类 ， 使 读者 掌握 网 络 入 侵 安全 问题 的 解决 方法 。 
本 书 特 色 


理论 联系 实际 : 网 络 管理 及 网 络 安全 均 添 加 中 小 型 企业 中 用 得 到 的 案例 ， 以 基础 知识 开始 引 
入 ， 帮 助 读者 了 解 该 项 网 络 技术 。 本 书 采 用 中 小 型 企业 中 使 用 较 多 ， 安 全 性 、 稳 定性 较 高 的 软 硬 件 
产品 工具 。 

一 步 一 图 ， 图 文 并 茂 : 注重 操作 ， 图 文 并 茂 ， 在 介绍 案例 的 过 程 中 ， 每 一 个 操作 均 有 对 应 的 
插图 。 这 种 图 文 结 合 的 方式 使 读者 在 学 习 过 程 中 能 够 直观 、 清 晰 地 看 到 操作 的 过 程 以 及 效果 ， 便 于 
更 快 地 理解 和 掌握 。 

易学 易 用 : 颠覆 传统 “看 ” 书 的 观念 ， 变 成 一 本 能 “操作 ”的 图 书 。 

举一反三 : 同一 类 技术 或 产品 ， 大 都 会 介绍 至 少 两 款 主流 工具 产品 供 读者 学 习 使 用 ， 从 而 更 
加 深刻 理解 网 络 管理 知识 ,达到 触 类 旁 通 的 效果 。 以 中 小 型 企业 环境 为 基础 ， 同 时 兼顾 必 备 的 基础 
知识 及 设计 原理 ， 进 而 达到 “ 知 其 然 ， 并 知 其 所 以 然 ”的 效果 。 

实 训 效果 : 本 书 采用 案例 介绍 、 需 求 分 析 、 实 施 流程 规划 及 分 步 施工 的 顺序 组 织 内 容 ， 方 便 
读者 系统 的 、 模 块 化 的 学 习 ， 使 读者 通过 阅读 此 书 ， 能 够 达到 网 络 实习 的 效果 。 

超 值 光盘 : 随 书 奉送 20 小 时 的 培训 班 形式 的 视频 教学 录像 ， 使 本 书 真 正 实现 “自学 无 忧 ” 
成 为 一 本 物 超 所 值 的 好 书 。 


读者 对 象 


本 书 是 一 本 完整 介绍 中 小 型 企业 网 络 管理 应 用 知识 的 教程 ， 内 容 丰 富 ， 条 理 清晰 ， 实 用 性 强 ， 
适合 以 下 读者 学 习 使 用 : 
e@ 对 中 小 型 企业 管理 感 兴趣 的 零 基 础 读者 
@ 计算 机 网 络 技术 、 网 络 工程 、 网 络 安全 相关 专业 的 学 生 ; 
@ ”具有 一 定 的 网 络 基 础 知识 ， 熟 悉 网 络 路 由 交换 技术 ,熟悉 网 络 服务 器 技术 ,能够 实现 简单 
网 络 搭建 ， 对 网 络 管理 技术 、 网 络 安全 技术 感 兴趣 的 工程 师 ; 
@ 各 行 各 业 需 要 学 习 网 络 管理 知识 的 人 员 。 
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第 1 章 网 络 管理 技术 基础 


从 上 世纪 90 年 代 开 始 ， 国 内 网 络 事业 攻 勃 发 展 ， 网 络 技术 也 逐步 普及 。 到 目前 为 止 ， 网 络 几 
乎 无 处 不 见 ， 在 生活 、 工 作 中 越 来 越 多 的 人 离 不 开 网 络 。 由 于 网 络 环境 不 断 的 普及 壮大 ， 相 应 的 网 
络 管理 问题 也 越 来 越 被 重视 。 在 这 种 环境 下 ， 网 络 管理 技术 得 到 不 断 的 更 新 、 改 善 。 

究竟 什么 是 网 络 管理 技术 ， 应 当 如 何 进行 网 络 管理 呢 ? 下面 对 这 两 个 问题 进行 详细 介绍 


1.1 网 络 管理 概述 


网 络 管理 ， 是 指 网 络 管理 员 通 过 网 络 管理 程序 对 网 络 的 运行 状态 进行 检测 和 控制 ， 从 而 使 网 
络 有 效 、 可 靠 、 安 全 、 经 济 运行 的 技术 体系 。 从 定义 来 看 ， 网 络 管理 主要 包括 两 部 分 任务 : 检测 网 
络 运 行 状态 和 控制 网 络 运行 状态 。 通 过 这 两 部 分 任务 可 以 了 解 网 络 运行 是 否 正常 、 是 否 存在 潜在 危 
险 和 瓶 贷 ， 并 通过 控制 调节 做 到 优化 网 络 、 提 高 性 能 、 保 障 服务 。 可 以 看 出 控制 和 检测 是 密 不 可 分 
的 ， 检 测 是 基础 ， 控 制 做 补充 。 

随 着 企业 信息 化 不 断 的 发 展 ， 依 赖 于 计算 机 网 络 和 计算 机 终端 的 业务 及 应 用 越 来 越 多 。 为 了 
提高 业务 及 应 用 质量 ， 对 于 网 络 设备 、 终 端 客户 机 、 服 务 器 、 应 用 程序 的 性 能 和 可 靠 性 要 求 越 来 越 
高 ， 相 应 的 网 络 维护 管理 工作 也 越 来 越 复杂 。 

由 于 信息 化 发 展 迅猛 ， 很 多 企业 在 应 对 需求 、 扩 充 网 络 环境 及 应 用 复杂 性 的 同时 ， 并 不 能 及 
时 的 补充 相应 的 管理 人 员 。 在 这 种 相对 不 和 谐 的 工作 环境 下 ,如 果 可 以 介入 专业 的 管理 技术 ， 高 素 
质 的 管理 人 才 ， 会 极 大 的 提高 网 络 环境 的 可 靠 性 、 网 络 应 用 的 高 效 性 。 

企业 业务 对 网 络 的 依赖 越 来 越 大 ， 一 旦 出 现 问题 ， 会 造成 很 多 方面 的 损失 。 因 此 ， 对 网 络 的 
稳定 性 、 安 全 性 、 可 靠 性 、 可 用 性 等 特征 的 等 级 要 求 也 越 来 越 高 。 企 业 的 业务 运作 是 一 整套 的 东西 ， 
如 果 某 一 个 环节 出 现 网 络 故障 ， 很 可 能 导致 工作 停滞 。 

想 要 保持 网 络 的 稳定 性 ， 需 要 在 网 络 故障 发 生 之 前 及 时 发 现 故 障 隐 患 ， 并 能 在 故障 发 生 之 后 
及 时 地 找 出 故障 原因 和 解决 办 法 。 同 时 网 络 的 稳定 运行 也 和 其 性 能 息息相关 , 所 以 需要 实时 的 监控 
其 性 能 状态 ， 及 时 地 发 现 性 能 瓶颈 、 找 到 解决 办 法 。 

在 网 络 管理 过 程 中 ， 由 于 网 络 设备 繁杂 ， 单 靠 人 工 管理 很 难 应 付 ， 所 以 需要 管理 员 能 够 智能 
化 的 对 所 有 设备 进行 配置 查看 和 修改 。 

网 络 管理 是 对 网 络 上 资源 的 集中 管理 ， 通 过 对 管理 内 容 的 细 化 ， 可 以 分 为 以 下 五 种 管理 职能 : 
配置 管理 、 性 能 管理 、 故 障 管理 、 计 费 管 理 、 安 全 管理 。 
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1.2 网 络 管理 的 发 展 


伴随 网 络 环境 的 不 断 扩大 ， 网 络 应 用 的 增加 ， 网 络 结构 变 得 越 来 越 复杂 。 在 这 个 变化 中 ， 网 
络 管理 的 工作 内 容 也 变 得 越 来 越 有 难度 , 越 来 越 繁重 。 早期 的 完全 依靠 手工 实现 的 网 络 管理 时 代 早 
已 不 能 满足 网 络 可 用 性 、 稳 定性 、 安 全 性 的 需求 。 紧 接着 ， 利 用 软件 实现 的 简单 集中 式 网 络 管理 模 
式 诞生 了 , 但 是 网 络 不 断 扩 大 ,复杂 的 网 络 环境 逐步 走向 分 层 式 网 络 结构 , 集中 式 的 网 络 管理 软件 
已 经 无 法 处 理 剧 增 的 庞大 网 络 管 理 信息 ， 网 络 管 理 再 次 变 得 被 动 。 面 对 广大 企业 网 络 管理 的 需求 ， 
分 布 式 、 分 层 的 网 络 管理 模型 诞生 。 在 这 样 的 发 展 过 程 中 ， 网 络 管理 技术 不 断 的 被 完善 。 网 络 管理 
技术 发 展 至 今 ， 已 经 成 为 了 一 套 完整 的 技术 体系 ， 并 且 还 在 不 断 的 壮大 中 。 

随 着 网 络 的 壮大 ， 网 络 应 用 技术 的 增加 ， 网 络 复杂 性 的 提高 ， 网 络 管理 水 平和 深度 的 需求 ， 
网 络 管理 内 容 也 在 不 断 地 增加 , 各 种 有 针对 性 的 网 络 管理 系统 软 硬 件 设备 纷纷 涌现 。 根据 网 络 管理 
内 容 的 不 同 ， 网 络 管理 技术 可 以 划分 为 六 个 发 展 方向 。 

1. 网 管 系统 (NMS) 


这 个 方向 产生 的 产品 也 可 以 称 作 网 络 运 维系 统 或 网 络 管理 平台 ， 主 要 致力 于 网 络 设备 的 实时 
监测 、 配 置 管理 和 故障 诊断 。 可 以 实现 网 络 拓扑 自动 发 现 、 设 备 远程 配置 、 各 种 性 能 图 标的 显示 、 
故障 报警 和 分 析 。 目 前 市 场 上 比较 流行 的 网 管 系统 产品 有 HP OpenView、IBM Tivoli NetView、 
CiscoWorks2000 等 。 

2. 应 用 性 能 管理 (APM) 

主要 用 于 实现 企业 关键 性 业务 的 性 能 监测 和 优化 。 从 原来 只 监控 服务 器 硬件 及 系统 程序 性 能 ， 
发 展 到 兼顾 客户 端 相 应 速度 , 可 以 实现 应 用 系统 各 个 组 件 的 性 能 监控 , 最 终 可 以 达到 提高 企业 应 用 
服务 可 靠 性 和 客户 服务 质量 的 目的 。 目 前 市 场 上 比较 流行 的 应 用 性 能 管理 产品 有 BMC、Quest 系 
列 产品 、Topaz 和 SiteView 等 产品 。 

3. 桌面 管理 系统 CDMI) 

主要 用 于 实现 对 最 终 用 户 的 全 方位 管理 ， 包 括 计算 机 组 件 、 操 作 系统 、 地 址 信息 。 可 以 实现 
对 设备 资产 信息 、 软 件 分 发 和 远程 控制 等 方面 的 工作 ， 减 少 了 管理 员 的 工作 量 ， 提 高 了 工作 效率 。 
目前 市 场 上 比较 流行 的 桌面 管理 系统 有 CA Unicenter、NetInhandLANDesk Management Suite 7、 
Landesk 等 。 


4. 员工 行为 管理 (EAM) 


主要 用 于 对 员工 上 网 及 桌面 操作 行为 的 监控 和 管理 。 可 实现 规范 员工 工作 习惯 ， 提 高 员工 管 
理 水 平 。 目 前 市 场 上 比较 流行 的 员工 行为 管理 系统 有 WebSense、NetManage 等 。 


5. 安全 管理 
主要 用 于 实现 保障 合法 用 户 对 网 络 资源 的 安全 访问 ， 防 止 网 络 被 恶意 攻击 和 破坏 。 主 要 通过 
各 种 软 硬 件 产 品 的 身份 验证 、 加 密 认证 、 访问 控制 、 流 量 分 析 、 漏 洞 扫描 和 安全 日 志 等 功能 来 实现 
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网 络 安全 保护 。 

目前 市 场 上 比较 流行 的 安全 管理 系统 有 : 防火 墙 (Cisco ASA、 天 融 信 、NetScreem、Check Point)、 
IDS 入 侵 检测 〈RealSecure、ITA、ESM)、 防 毒 墙 (启明 星辰 、 赵 势 科技 )、 流 量 监测 分 析 〈Sniffer 
Pro、 科 来 )、VPN (安达 通 )、CA 认证 等 。 


1.3 ”网络 管理 的 五 大 职能 


在 进行 网 络 管理 时 ， 需 要 管理 的 内 容 、 信 息 繁多 ， 综 合 起 来 可 以 实现 五 个 方面 的 管理 职能 ， 
分 别 是 配置 管理 、 性 能 管理 、 故 障 管理 、 计 费 管理 、 安 全 管理 。 这 五 大 管理 职能 的 具体 内 容 介绍 如 
下 。 


1.3.1 配置 管理 


配置 管理 在 网 络 管理 中 非常 重要 ， 通 过 这 项 功能 可 以 对 网 络 里 所 有 设备 进行 配置 查看 、 调 试 、 
保存 等 操作 ， 这 样 一 方面 提高 了 设备 配置 效率 ， 另 一 方面 确保 了 设备 配置 的 准确 性 和 安全 性 。 配 置 
管理 系统 需要 具备 以 下 功能 。 

1. 配置 管理 设备 的 配置 信息 

网 络 环境 越 来 越 大 ， 需 要 配置 管理 的 设备 也 越 来 越 多 ， 如 果 所 有 设备 的 配置 信息 全 部 由 人 工 
来 完成 ， 工 作 量 会 很 大 ， 同 时 由 人 工 操作 难免 会 出 现 配 置 错误 。 而 且 在 设备 配置 结束 后 ， 即 便 是 当 
初 的 配置 人 随 着 网 络 环境 的 逐渐 扩充 、 变 换 ， 也 不 一 定 能 一 直 掌 握 所 有 设备 的 配置 情况 ,如 果 换 了 
新 的 网 络 管理 员 ， 就 更 不 可 能 掌握 整个 网 络 配置 了 。 所 以 , 在 实施 网 络 管理 时 需要 架设 一 套 可 以 实 
现 设 备 远程 配置 并 可 以 自动 获得 管理 所 有 设备 配置 信息 的 程序 。 

当然 并 非 所 有 配置 内 容 都 可 以 实现 远程 配置 ， 比 如 网 络 设备 初始 安装 时 ， 远 程 管理 端 根本 无 
法 连接 ， 最 基本 的 连接 配置 还 需要 管理 员 手 工 操作 完成 。 

2. 自动 更 新 、 保 存 配置 

网 络 管理 过 程 中 经 常会 出 现 一 些 需要 定期 调整 的 配置 内 容 ， 比 如 程序 升级 。 还 有 设备 的 配置 
也 会 经 常 地 被 调整 ， 一 旦 设备 出 现 故障 ， 原 有 的 配置 信息 可 能 会 丢失 ， 必 须 对 这 些 配 置信 息 执行 定 
期 备份 保存 操作 。 这 些 周期 性 的 工作 内 容 ， 如 果 每 次 都 需要 管理 员 去 操作 很 浪费 时 间 ， 也 很 容易 态 
记 。 所 以 ， 需 要 专门 的 管理 程序 能 够 定期 的 自动 执行 任务 计划 ， 以 完成 这 些 工作 。 

3. 配置 一 致 性 校 验 


网 络 环境 较 大 的 情况 下 ， 需 要 配置 的 设备 太 多 ， 一 般 都 会 由 多 人 完成 配置 ， 虽然 前 期 有 详细 
的 配置 方案 , 但 是 在 实施 过 程 中 难免 会 出 现 问 题 。 再 者 , 在 日 常 网 络 维护 中 ， 网 络 环境 或 设备 会 经 
常 被 改动 , 在 改动 过 程 中 也 难免 出 现 错误 的 配置 。 这 些 情况 都 有 可 能 导致 网 络 无 法 正常 使 用 。 所 以 ， 
在 网 络 管理 过 程 中 要 经 常 对 网 络 设备 的 配置 进行 一 致 性 校 验 。 其 中 对 网 络 使 用 影响 较 大 的 配置 内 容 
主要 是 路 由 器 、 交 换 机 、 防 火 墙 等 关键 设备 的 配置 。 
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4. 配置 变化 记录 


网 络 中 有 一 部 分 设备 需要 被 用 户 频 繁 使 用 ， 而 这 部 分 设备 很 容易 被 普通 用 户 操作 错误 的 配置 
信息 , 一 旦 设备 出 现 故障 在 ,在 没有 任何 资料 的 情况 下 ,网 络 管理 员 进 行 故障 排查 会 很 吃力 。 如 果 
可 以 实时 的 记录 设备 配置 信息 的 变化 情况 ,管理 员 就 可 以 通过 这 些 记 录 信 息 迅 速 的 查 出 导致 故障 的 
错误 配置 。 这 一 般 可 以 通过 设备 的 系统 日 志 功 能 来 实现 , 管理 员 通 过 远程 管理 可 以 查看 保存 这 些 日 


志 信息 。 
1.3.2 ”性 能 管理 


性 能 是 用 来 评价 系统 、 设 备 和 网 络 整体 运行 状况 的 重要 信息 。 这 些 性 能 信息 如 果 能 被 合理 利 
用 ,网络 管理 员 就 可 以 及 时 地 发 现 性 能 瓶颈 、 故 障 隐患 及 原因 。 而 网 络 管理 系统 就 可 以 提供 性 能 管 
理 机 制 ， 帮 助 管理 员 进行 性 能 检测 分 析 ， 并 对 异常 现象 报警 。 详 细 训 析 ， 性 能 管理 系统 需要 具备 以 
下 功能 。 

1. 性 能 监控 


设备 、 系 统 和 网 络 的 性 能 需要 由 专业 的 工具 统计 产生 ， 最 终 可 能 产生 的 性 能 信息 有 CPU 使 用 
率 、 空 闲 内 存量 、 磁 盘 驱 动 器 读 写 速率 、 网 络 流量 、 丢 包 率 、 网 络 延 迟 等 ， 这 些 性 能 信息 通过 性 能 
管理 程序 的 处 理 可 以 生成 性 能 报告 。 


2. 性 能 分 析 


获取 性 能 信息 和 性 能 报告 的 意义 在 于 查找 性 能 瓶 开 和 故障 隐患 。 这 需要 对 已 统计 的 性 能 信息 
进行 整理 、 分 析 ， 并 和 性 能 指标 做 比较 ， 最终 得 出 分 析 结 果 和 调整 方案 ,使 整个 网 络 的 性 能 得 到 最 
好 的 发 挥 。 


3. 警报 阅 值 控制 


设备 、 系 统 和 网 络 出 现 异常 时 ， 性 能 状态 会 有 所 改变 ， 如 果 当 时 没有 进行 性 能 监控 和 分 析 ， 
很 可 能 使 异常 恶化 。 通 过 性 能 管理 程序 ， 可 以 设 定性 能 阔 值 ， 一 旦 监控 到 的 性 能 信息 超过 了 设 定 的 
阔 值 ， 代 表 出 现 了 蜡 常 ， 并 向 管理 员 发 送 警报 提示 。 


1.3.3 ”故障 管理 


网 络 故 障 一 直 是 网 络 管理 员 最 头痛 的 问题 ， 有 些 故 障 可 能 会 造成 巨大 的 损失 ， 而 有 些 故 障 不 
大 , 但 却 频 繁 发 生 。 不 过 一 般 的 网 络 故障 都 是 一 些小 故障 ， 这 些小 故障 虽然 危害 不 大 , 但 是 恢复 起 
来 也 需要 管理 员 费 一 番 手 脚 , 关键 是 这 些小 故障 发 生 的 频率 都 很 高 , 时 间 长 了 就 变 成 了 占用 管理 员 
时 间 最 多 的 、 机 械 的 、 重 复 的 工作 。 

其 实 网 络 里 的 每 一 个 用 户 和 管理 员 的 期 望都 一 样 ， 希 望 故障 彻底 消失 。 但 是 这 不 可 能 ， 作 为 
管理 员 能 做 的 是 尽量 避免 故障 发 生 ， 尽 快 解决 故障 。 当 没有 故障 时 ， 管 理 员 需要 实时 的 监控 网 络 ， 
分 析 故 障 隐 患 ， 让 故障 结束 在 萌芽 状态 。 当 故障 发 生 后 ， 管 理 员 需要 第 一 时 间 让 网 络 畅通 ， 然 后 再 
查找 故障 原因 进行 恢复 。 

要 做 到 以 上 内 容 需 要 架设 一 套 完 善 的 故障 管理 系统 ， 通 过 该 系统 实现 故障 检测 、 隔 离 和 恢复 。 


.4。 
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详细 剖析 ， 故 障 管理 系统 需要 具备 以 下 功能 。 
1. 故障 监测 


首先 故障 管理 系统 要 能 够 发 现 故 障 ， 通 过 设备 系统 自身 的 事件 和 审核 功能 可 以 发 现 故障 并 将 
其 以 事件 日 志 的 形式 记录 。 通 过 网 络 性 能 和 流量 分 析 程序 也 可 以 获得 网 络 故障 信息 。 


2. 故障 报警 


发 现 网 络 故 障 之 后 ， 如 果 不 能 及 时 被 管理 员 获 知 ， 故 障 就 会 继续 威胁 网 络 ， 需 要 使 用 故障 管 
理 系 统 向 管理 员 发 送 报警 信息 。 报 警 信息 可 以 通过 提示 窗口 、 提 示 音 、 电 子 邮 件 等 多 种 方式 告知 管 
理 员 。 

故障 报警 需要 根据 故障 的 大 小 ， 按 照 不 同 的 级 别 进行 处 理 ， 这 样 有 助 于 管理 员 合理 安排 恢复 
优先 级 。 


3. 检索 / 分 析 故 障 信息 
管理 员 获 知 故 障 事件 后 ， 需 要 对 各 种 日 志和 其 他 记录 信息 进行 故障 分 析 ， 找 出 故障 原因 。 
4. 排 错 支持 工具 


在 分 析 故 障 原因 时 ， 可 能 出 现 的 原因 比较 多 ， 需 要 使 用 不 同 的 方法 或 工具 进行 故障 测试 ， 找 
出 真正 的 原因 。 这 需要 使 用 各 种 针对 性 的 排 错 工具 。 所 以 架设 故障 管理 系统 时 必须 准备 这 方面 的 工 
具 程 序 。 


1.3.4” 计 费 管理 


网 络 资源 是 有 限 的 ， 如 果 无 限制 地 被 使 用 ， 根 本 不 可 能 满足 需求 ， 所 以 在 网 络 资源 限制 较 明 
显 的 位 置 应 该 架设 计 费 管理 系统 ,通过 计 费 管理 系统 可 以 评估 出 用 户 使 用 网 络 资源 需要 支付 的 费用 
和 代价 ,限制 用 户 能 够 使 用 的 网 络 资源 等 ,比较 常见 的 计 费 管理 系统 应 用 有 网 吧 上 网 时 间 费 用 记录 、 
银行 系统 网 络 流量 计 费 等 。 详 细 剖 析 ， 计 费 管理 系统 需要 具备 以 下 功能 。 

1. 采集 计 费 数据 

计 费 的 依据 主要 是 网 络 中 的 流量 数据 ， 所 以 计 费 管理 系统 必须 要 支持 一 定 的 计 费 信息 搜集 功 
能 。 该 项 功能 的 支持 可 能 会 受到 硬件 设备 和 软件 的 限制 无 法 实现 ， 管 理 员 需 要 留意 。 

2. 数据 分 析 与 费用 计算 


获得 计 费 信息 后 ， 需 要 对 数据 进行 分 析 获 知 用 户 的 网 络 资源 使 用 情况 ， 进 而 判断 其 应 该 交纳 
的 费用 。 


3. 计 费 数据 的 管理 和 维护 


扫描 到 计 费 信息 后 ， 经 过 统计 要 实现 费用 的 交纳 、 资 源 使 用 的 规则 配置 等 工作 ， 这 需要 人 为 
的 管理 。 比 如 用 户 交 费 能 够 支持 多 久 、 多 大 带宽 、 多 少 流量 的 资源 使 用 , 如 何 确 保 用 户 不 超额 使 用 。 
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4. 计 费 业务 交易 平台 


用 户 作为 消费 者 ， 有 权 选 择 自己 使 用 的 计 费 业务 ， 需 要 计 费 管理 系统 提供 这 种 业务 功能 。 同 
时 , 用 户 在 支付 费用 时 ， 有 权 获知 自身 的 网 络 资源 使 用 情况 ， 并 能 通过 这 些 信息 核算 自己 需要 支付 
的 费用 。 
1.3.5 ”安全 管理 

网 络 安全 虽然 一 直 被 强调 ， 但 是 它 依然 是 大 部 分 网 络 的 薄弱 环节 。 由 于 网 络 安全 威胁 越 来 越 
大 ， 想 要 保障 安全 ， 必 须 配置 一 套 完整 的 安全 管理 系统 ， 该 系统 可 以 包括 认证 口令 、 安 全 设备 、 访 
问 控制 规则 、 安 全 协议 、 日 志 记录 与 分 析 、 漏 洞 监测 分 析 、 警 报 策略 等 内 容 。 下 面 依次 介绍 这 些 功 
能 。 

1. 认证 口令 

无 论 是 网 络 设备 、 操 作 系统 ， 还 是 应 用 程序 ， 都 有 设置 身份 认证 、 登 录 口 令 等 配置 内 容 ， 这 
些 内 容 属于 最 基本 的 安全 防护 内 容 。 但 是 这 些 配置 很 重要 , 管理 员 需 要 一 套 安 全 的 身份 认证 加 密 技 
术 和 口令 复杂 性 配置 方法 ， 并 且 ， 配 置 的 认证 口令 需要 进行 系统 的 保存 。 

2. 安全 设备 


为 了 保证 安全 ， 企 业 网 络 中 经 常会 加 入 一 些 安全 设备 ， 比 如 用 于 病毒 防护 的 防毒 墙 、 用 于 防 
止 网 络 攻击 的 入 侵 检 测 系统 和 防火 墙 、 用 于 远程 安全 连接 的 VPN 设备 等 。 这 些 专 业 的 安全 设备 ， 
是 安全 管理 系统 中 的 重头 戏 ， 但 是 在 使 用 时 需要 和 完善 的 配置 规则 相 结合 。 

3. 访问 控制 规则 

为 了 保证 网 络 安全 ， 通 常会 将 一 些 没有 必要 的 流量 在 特定 的 网 络 位 置 屏 蔽 掉 ， 这 需要 依靠 访 
问 控 制 来 实现 。 几 乎 大 部 分 设备 都 能 够 实现 访问 控制 的 配置 ,但 是 配置 的 规则 却 差 异 很 大 。 访 问 配 
置 规则 不 能 盲目 地 从 单个 设备 考虑 ， 需 要 全 局 把 握 ， 统 一 规划 。 

4. 安全 协议 

数据 在 网 络 中 传输 时 ， 很 可 能 因为 各 种 原因 而 出 现 被 损坏 、 被 窃取 、 被 算 改 的 情况 。 所 以 必 


须要 使 用 一 些 能 够 确保 数据 完整 性 、 机 密 性 、 正 确 性 的 技术 ， 比 如 SSL 传输 协议 、IPSec 协议 、 
SNMPv3 协议 等 。 除 此 之 外 ， 很 多 协议 都 自 带 有 安全 认证 、 加 密 功能 。 


5. 日 志 记 录 与 分 析 


通过 日 志 记 录 可 以 分 析 计 算 机 系统 、 软 件 程序 的 所 有 操作 内 容 ， 通 过 分 析 可 以 从 中 获得 具有 
安全 隐患 的 操作 和 造成 故障 威胁 的 原因 ， 通 常 很 多 网 络 会 专门 做 一 套 日 志 记录 服务 器 。 


6. 漏洞 检测 分 析 


漏洞 是 造成 安全 威胁 的 主要 原因 之 一 ， 一 个 小 小 的 漏洞 可 能 引发 网 络 攻 击 、 病 毒 木马 攻击 等 
一 系列 的 安全 问题 。 漏 洞 不 可 能 完全 避免 ， 所 以 需要 经 常 对 网 络 进行 分 析 ， 查 找 漏洞 。 
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7. 警报 策略 
警报 用 于 向 管理 员 提 示 网 络 设 备 、 系 统 服务 等 的 异常 。 这 可 以 让 管理 员 第 一 时 间 发 现 故障 隐 
患 和 解决 故障 ， 可 以 极 大 地 减少 损失 。 


1.4 网络 管理 体系 结构 


网 络 管理 技术 发 展 过 程 中 ， 为 了 应 对 需求 ， 网 络 管理 方式 做 了 很 多 的 调整 和 变化 。 为 了 方便 
区 分 , 可 以 用 不 同 的 网 络 管理 体系 结构 对 其 进行 定义 。 下 面 详细 介绍 网 络 管理 体系 结构 的 概念 及 分 
类 。 


1.4.1 网 络 管理 体系 结构 概念 


网 络 管理 体系 结构 主要 由 网 络 管理 系统 和 管理 代理 组 成 。 它 规定 了 网 络 管理 信息 采集 管理 的 
方式 ， 随 着 网 络 规模 的 扩大 ， 网 络 管理 技术 的 发 展 ， 已 经 先后 产生 了 三 种 网 络 管理 体系 结构 ， 分 别 
是 集中 式 网 络 管理 体系 结构 、 分 层 网 络 管理 体系 结构 和 分 布 式 网 络 管理 体系 结构 。 


1.4.2 ”集中 式 网 络 管理 体系 结构 
集中 式 网 络 管理 体系 结构 是 将 所 有 被 管理 设备 的 管理 信息 集中 到 一 台 管 理 服务 器 上 实施 网 络 


管理 。 
如 图 1-1 所 示 为 集中 式 网 络 管理 体系 结构 的 拓扑 图 。 


网 络 管理 信息 


被 管 代理 
MIB 
路 由 器 打印 机 服务 器 交换 机 客户 机 
图 1-1 


这 种 方式 在 早期 网 络 管理 中 使 用 比较 多 。 通 过 单一 的 网 络 管理 服务 器 对 全 网 进行 监测 、 分 析 、 
维护 和 管理 。 集 中 式 的 管理 方式 不 易 出 现 管理 上 的 冲突 , 但 是 随 着 网 络 管理 任务 量 的 增加 ， 单 个 网 
络 管理 员 根 本 应 付 不 过 来 ， 单 个 网 络 管理 服务 器 程序 的 性 能 也 无 法 满足 需求 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


对 于 大 型 网 络 环境 ， 虽 然 集中 式 网 络 管理 体系 结构 已 经 不 适用 ， 但 是 大 部 分 中 小 企业 还 是 使 
用 这 种 体系 结构 。 


1.4.3 ”分 层 网 络 管理 体系 结构 


继 集中 式 网 络 管理 体系 结构 之 后 就 出 现 了 分 层 网 络 管理 体系 结构 。 分 层 式 网 络 管理 体系 加 入 
了 一 层 中 间 管理 服务 器 , 这 个 所 谓 的 中 间 管 理 服 务 器 并 不 能 称 作 真正 的 服务 器 , 而 是 被 管 设备 上 的 
一 个 内 置 管 理 程序 , 通过 这 个 程序 被 管 设备 可 以 进行 一 些 简单 的 网 络 管理 任务 , 蔡 网 络 管理 服务 器 
分 担 一 些 管理 工作 ， 缓 解 了 整个 网 络 的 管理 压力 。 

如 图 1-2 所 示 为 分 层 网 络 管理 体系 结构 的 拓扑 图 。 


网 络 管理 信息 


图 1-2 


使 用 分 层 网 络 管理 体系 结构 虽然 做 了 管理 工作 的 分 散 实 施 ， 但 是 整个 网 络 管理 体系 还 是 只 有 
一 个 管理 信息 数据 库 ， 被 管 设备 和 中 间 管 理 服务 器 没有 信息 存储 能 力 。 


1.4.4 “分布 式 网 络 管理 体系 结构 


企业 在 发 展 过 程 中 业务 类 型 越 来 越 复杂 ， 导 致 企业 网 络 结构 出 现 跨 区 域 互 联 广 泛 、 接 入 方式 
多 等 现象 ， 所 以 需要 更 好 的 网 络 管理 体系 支持 。 

分 布 式 网 络 管理 体系 结构 可 以 说 是 对 以 上 两 种 管理 体系 结构 的 整合 与 改进 升级 。 将 一 个 网 络 
分 配给 多 台 服 务 器 管理 , 每 个 服务 器 有 一 套 网 络 管理 程序 和 一 个 管理 信息 数据 库 , 彻底 分 散 了 整个 
网 络 的 管理 任务 。 

如 图 1-3 所 示 为 分 布 式 网 络 管理 体系 结构 的 拓扑 图 。 
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图 1-3 


虽然 网 络 环境 进行 了 分 散 管 理 ， 但 并 不 是 一 台 服 务 器 只 能 管理 一 个 区 域 ， 如 果 需 要 获得 其 他 
区 域 的 网 络 管理 信息 ， 服 务 器 彼此 之 间 可 以 相互 访问 获得 。 


1.5 网 络 管理 实现 模式 分 析 


有 了 网 络 管理 体系 结构 ， 如 何在 这 种 结构 下 获取 网 络 管理 信息 呢 ? 这 就 是 下 面 要 介绍 的 网 络 
管理 实现 方式 。 常 见 的 网 络 管理 实现 方式 有 : 基于 SNMP 的 网 络 管理 、 基 于 CMIP 的 网 络 管理 、 
基于 Web 的 网 络 管理 、TMN 网 络 管理 。 


1.5.1 基于 SNMP 的 网 络 管理 


SNMP 协议 是 目前 使 用 最 多 的 网 络 管理 协议 ， 因 为 该 协议 是 专门 针对 TCP/P 协议 栈 提 出 的 ， 
几乎 所 有 互联 网 中 应 用 的 设备 、 服 务 器 都 支持 SNMP 协议 。 目 前 SNMP 有 三 个 版 本 v1、v2 和 v3， 
使 用 比较 广泛 的 是 v1 和 v2, 但 v3 版 本 的 安全 性 等 多 方面 的 性 能 都 很 高 ， 所 以 未 来 一 定 是 v3 或 更 
好 的 技术 占领 市 场 。 

基于 SNMP 的 网 络 管理 系统 包括 四 个 要 素 : 被 管 设备 、 被 管 设备 中 的 管理 代理 、 用 于 实现 网 
络 管理 和 监控 功能 的 网 络 管理 器 、 用 于 定义 管理 信息 数据 对 象 的 MIB (管理 信息 库 )。 

基于 SNMP 的 网 络 管理 系统 主要 通过 四 项 工作 来 实现 管理 ， 介 绍 如 下 。 
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(1) 管理 服务 器 依靠 getrequest 和 getnetrequest 两 种 消息 向 被 管 设备 代理 发 送信 息 请 求 ， 请 
求 时 主要 依靠 轮 询 的 方式 发 送 请 求 信息 。 

(2) 被 管 设 备 代理 使 用 getresponse 消息 对 管理 服务 器 的 请 求 做 出 回复 。 

(3) 管理 服务 器 使 用 setrequest 消息 向 被 管 设 备 代 理发 送 管理 信息 修改 请 求 。 

(4) 被 管 设备 代理 使 用 trap 自 陷 消息 主动 向 管理 服务 器 报告 被 管 设备 中 发 生 的 事件 。 


1.5.2 ”基于 CMIP 的 网 络 管理 


CMIP 是 ISO (国际 标准 化 组 织 ) 为 了 解决 对 不 同 厂商 设备 实施 管理 而 创建 的 网 络 管理 协议 ， 
是 属于 OSI (开放 式 系统 互 连 模型 ) 体系 的 组 成 部 分 。 

CMIP 和 SNMP 一 样 是 一 套 完整 的 管理 体系 ， 在 这 个 体系 里 有 和 SNMP 网 络 管理 体系 一 样 的 
网 络 管理 服务 器 、 被 管 设 备 、 被 管 设 备 代理 和 管理 信息 库 四 个 要 素 。 不 过 CMIP 中 的 网 络 管理 服务 
器 和 被 管 设 备 代理 没 有 明确 的 区 分 ， 任 何 一 台 网 络 设备 都 可 以 同时 担当 这 两 个 角色 。CMIP 主要 是 
通过 事件 报告 进行 工作 的 。 

CMIP 网 络 管理 体系 主要 由 三 部 分 组 成 。 

(1) 组 织 模型 : 规定 了 网 络 管理 任务 的 分 配 

(2) 功能 模型 ;功能 上 可 以 分 为 故障 管理 、 配 置 管理 、 性 能 管理 、 计 费 管理 和 安全 管理 五 个 
部 分 。 

(3) 信息 模型 :面向 所 有 管理 功能 都 做 了 详细 的 MIB 对 象 设计 ， 但 是 MIB 过 于 复杂 了 。 

CMIP 也 存在 很 多 的 优点 , 它 可 以 在 发 送 的 每 一 个 变量 信息 中 携带 一 定 的 网 络 管理 任务 , 减轻 
了 网 络 管理 员 的 工作 和 网 络 负担 , 同时 CMIP 还 有 较 强 的 验证 和 访问 控制 功能 。 但 是 在 实际 应 用 时 
CMIP 也 存在 很 多 问题 , 首先 整个 管理 模型 的 使 用 会 消耗 掉 SNMP 儿 十 倍 的 资源 , 每 一 个 变量 信息 
携带 的 管理 任务 都 会 增加 被 管 代理 的 资源 消耗 ， 同 时 CMIP 的 MIB 管理 信息 库 设置 过 于 复杂 ,不 
便于 信息 的 查询 和 索引 。 


1.5.3 ”基于 Web 的 网 络 管理 


网 络 管理 实现 技术 从 C/S 〈 客 户 端 /服务 器 ) 模式 发 展 到 了 B/S〈 浏 览 器 /服务 器 ) 模式 ， 使 得 
整个 Web 技术 搭建 的 环境 有 良好 的 可 扩展 性 、 开 放 性 和 可 移植 性 ， 对 于 减少 网 络 管理 费用 、 提 高 
网 络 管理 效率 等 方面 有 极 大 的 帮助 ， 所 有 很 多 厂商 纷纷 开始 投入 到 Web 管理 模型 的 开发 中 。 

基于 Web 的 网 络 管理 (Web-Based Management)， 也 可 以 称 作 WBM。WBM 技术 存在 很 多 优 
点 ， 它 将 HITP、Java、Web 和 浏览 器 等 多 种 技术 和 网 络 管理 技术 进行 了 融合 ， 实 现 了 更 灵活 、 更 
高 效 、 更 强大 的 网 络 管理 体系 , 作为 网 络 管理 者 不 需要 再 建立 专门 的 网 络 管理 服务 器 ， 只 要 有 Web 
浏览 器 ， 在 任何 位 置 都 可 以 实现 网 络 管理 。 而 且 使 用 Web 浏览 器 方式 的 管理 易学 易 用 ， 非 常 适合 
广大 网 络 管理 员 使 用 。 


1.5.4 TMN 网 络 管理 


TMN (电信 管理 网 ) 是 电信 和 网络 业务 中 实现 的 网 络 管理 技术 ， 是 在 CMIP 的 基础 上 建立 起 来 
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的 。 是 为 了 解决 电信 网 络 日 益 增 加 的 设备 数量 和 网 络 复杂 性 而 设计 的 , 可 以 提供 更 好 的 客户 服务 质 
量 和 高 可 靠 性 的 电信 服务 。 
整个 TMN 电信 管理 网 也 遵循 五 大 网 络 管理 功能 。 


(1) 性 能 管理 : 对 电信 网 和 电信 设备 进行 性 能 采集 、 统计 ， 并 对 采集 到 的 性 能 数据 进行 分 析 ， 
根据 性 能 分 析 结 果 ， 对 电信 网 实施 必要 的 控制 措施 。 

(2) 故障 管理 ;对 电信 网 和 电信 设备 进行 故障 监测 、 分 析 和 处 理 ， 可 以 实现 警报 提示 、 故 障 
定位 和 故障 修复 功能 。 

(3) 配置 管理 ， 对 电信 网 络 中 的 设备 进行 配置 查看 、 调 试 操作 ， 以 及 对 业务 信息 进行 配置 调 
试 ， 如 为 客户 办 理 业 务 开启 和 关闭 。 

(4) 帐 务 管理 ， 对 电信 网 络 中 客户 的 网 络 使 用 情况 进行 测量 ， 判 断 其 业务 流量 和 应 当 缴纳 的 
费用 。 

(5) 安全 管理 :对 电信 网 和 电信 设备 进行 加 密 、 认 证 、 审 计 和 用 户 权限 设置 等 操作 ， 确 保 客 
户 安 全 的 使 用 电信 网 络 。 


对 于 普通 企业 来 说 ， 不 需要 过 多 的 了 解 TMN 网 络 管理 模型 。 


1.6 专家 答疑 


(1) 认识 了 网 络 管理 技术 ， 但 是 在 具体 工程 中 如 何 实施 呢 ? 

答 : 首先 需要 选择 合适 的 网 络 管理 体系 结构 ， 目 前 大 多 数 中 小 企业 都 可 以 使 用 分 层 网 络 管理 
体系 结构 ， 大 型 企业 可 以 选择 分 布 式 网 络 管理 体系 结构 。 然 后 确定 使 用 什么 样 的 网 络 管理 协议 , 企 
业 里 的 大 部 分 网 络 都 是 使 用 的 SNMP 协议 。 之 后 就 要 结合 网 络 管理 的 五 大 智能 分 别 部 署 网 络 管理 
任务 。 

(2) 网 络 管理 技术 不 断 发 展 ， 如 何在 原 有 的 网 络 管理 体系 上 升级 ? 

答 : 如 果 之 前 网 络 中 已 经 有 了 网 络 管理 环境 ， 一 般 网 络 管理 体系 已 经 确定 了 ， 不 需要 做 调整 。 
而 使 用 的 网 络 管理 协议 ,目前 大 部 分 网 络 都 是 使 用 的 SNMPv2, 如果 企业 有 需求 或 者 条 件 ， 可 以 在 
升级 改造 时 ， 尽 量 将 设备 升级 为 支持 SNMPv3 协议 ， 以 提供 更 安全 的 保障 。 新 增 的 网 络 设备 可 能 
会 有 新 的 管理 优势 ， 需 要 管理 员 及 时 学 习 发 现 ， 并 加 以 利用 。 
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初学 网 络 管理 技术 ， 很 多 读者 会 提出 这 样 的 问题 : 网 络 管理 服务 器 如 何 管理 网 络 中 的 众多 设 
备 呢 ? 被 管 设备 又 如 何 将 自己 的 设备 配置 及 状态 信息 反馈 给 管理 服务 器 呢 ? 这 必须 要 有 一 种 协议 
技术 来 实现 该 功能 ， 网 络 管理 协议 应 运 而 生 。 

网 络 设备 繁多 ， 为 了 使 网 络 环境 具有 较 高 的 可 管理 性 ， 需 要 各 种 网 络 设备 运用 相同 的 网 络 管 
理 协议 。 目 前 被 各 大 设备 厂商 所 认可 的 网 络 管 理 协议 主要 是 SNMP 协议 。 想 要 高 效 地 完成 网 络 管 
理 任务 ， 首 先 需要 掌握 SNMP 协议 的 运行 原理 及 相关 运用 技术 ， 下 面 主要 对 SNMP 协议 进行 详细 
讲解 。 


2.1 SNMP 概述 


SNMP 协议 由 一 些 列 的 协议 组 和 规范 组 成 ， 它 提出 了 一 套 从 网 络 环境 下 的 设备 中 获取 网 络 管 
理 信息 的 方法 ， 同 时 也 提出 了 设备 向 网 络 管理 服务 器 报告 问题 和 错误 的 方法 。 为 了 更 深入 的 了 解 
SNMP 协议 ， 下 面 对 其 发 展 、 特 点 及 存在 的 问题 进行 详细 的 介绍 。 


2.1.1 SNMP 的 发 展 历程 


为 了 简化 大 型 网 络 中 设备 的 管理 与 数据 获取 ， 上 世纪 90 年 代 SNMP 协议 应 运 而 生 。 当 时 很 多 
流行 的 网 络 管理 软件 都 是 使 用 SNMP 服务 简化 网 络 管理 和 维护 的 ， 比 如 HP 的 Open View、IBM 
的 Tivoli NetView 等 。 短 短 的 几 年 ，SNMP 服务 的 优越 性 就 被 各 大 网 络 产品 厂商 所 认可 ， 纷 纷 在 自 
己 的 路 由 器 、 集线器 等 各 类 网 络 设备 中 加 入 该 技术 。 这 项 技术 发 展 到 现在 , 各 种 设备 上 都 默认 配置 
了 SNMP 服务 ， 从 普遍 使 用 的 路 由 器 、 交 换 机 ， 到 单个 的 打印 机 、 扫 描 仪 ， 无 一 例外 。 

SNMP 服务 并 非 一 出 世 就 很 完美 ， 在 网 络 管理 技术 发 展 的 历程 中 ，SNMP 服务 也 在 不 断 的 完 
善 。 最 先 出 现 的 SNMP 被 称 作 v1 版 ， 之 后 又 相继 出 现 了 SNMPv2 和 v3 两 个 版 本 。 

SNMPv2 诞生 于 1996 年 ， 与 vl 版 相 比 做 了 如 下 改善 。 


(1) 支持 分 布 式 管理 

SNMPv1 使 用 的 是 单一 的 集中 式 管理 模式 , 而 SNMPv2 支持 分 布 式 / 分 层 式 的 网 络 管理 结构 。 
在 SNMPv2 管理 模型 中 允许 系统 同时 具有 管理 器 和 代理 的 功能 ， 一 方面 它 可 以 以 代理 身份 接收 上 
一 级 管理 系统 的 命令 , 访问 其 本 机 信息 , 另 一 方面 还 可 以 提供 它 所 负责 的 管理 域 中 其 他 代理 的 信息 
摘要 ， 并 向 上 级 管理 系统 发 送 Trap 信息 。 
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(2) 改进 管理 信息 结构 

增加 了 很 多 SNMPv1 没有 的 数据 类 型 , 除了 拥有 一 个 相当 于 SNMPv1 的 MIB-I 外 , 还 有 一 个 
支持 分 布 式 管理 结构 的 Manager-to-Manager (M2M) MIB。 

(3 ) 增强 了 管理 信息 通信 协议 的 能 力 

增强 了 对 大 块 数据 的 读 取 ， 并 允许 Manager (管理 站 ) 间 发 送 通报 。 随 着 技术 的 发 展 ， 安 全 的 
需求 ，2002 年 SNMPv3 诞生 。 由 于 使 用 SNMPv1 和 v2 进行 网 络 管理 时 安全 功能 有 限 ， 面 临 着 假 
冒 、 信 息 算 改 、 信 息 暴 露 等 多 种 安全 威胁 ， 在 SNMPv3 中 增强 了 加 密 和 验证 功能 ， 使 其 具有 极 好 
的 安全 性 和 管理 功能 。 虽然 功 能 有 所 增强 , 但 是 SNMPv3 依然 保留 了 SNMPv1 和 v2 易于 理解 、 易 
于 实现 的 特点 。 


2.1.2 使 用 SNMP 需要 注意 的 问题 


SNMP 协议 得 到 了 广泛 应 用 ， 很 多 厂商 都 采用 其 协议 标准 ， 但 是 许多 厂商 依然 使 用 SNMPv1 
和 v2， 并 没有 使 用 安全 性 和 管理 功能 更 好 的 SNMPv3。SNMPv1 和 v2 两 个 版 本 唯一 的 安全 手段 就 
是 共同 体 名 ,没有 过 硬 的 安全 加 密 技术 .一旦 获取 了 共同 体 名 就 可 以 连接 设备 获取 想 要 的 管理 信息 。 
为 了 方便 管理 ， 大 多 数 设 备 会 配置 一 个 默认 的 共同 体 名 ， 一般 为 public( 只 读 权 限 ) 和 private( 读 
/ 写 权限 )， 如 果 管 理 员 没有 做 修改 ， 网 络 资源 信息 很 容易 被 窃取 。 

SNMPv1 和 v2 版 本 大 部 分 信息 还 是 以 明文 进行 传输 ， 即 便 是 做 了 加 密 也 很 容易 被 截获 ， 破 解 
出 共同 体 名 。 

SNMPv3 虽然 做 了 很 多 安全 技术 ， 但 是 如 果 应 用 不 好 ， 默 认 的 共同 体 名 依然 会 造成 其 安全 隐患 。 

除 此 之 外 ， 很 多 设备 在 出 现 异 常 时 会 向 管理 服务 器 提交 SNMP Trap《〈 陷 阱 ) 信息 ， 这 些 信息 
主要 是 异常 报告 ,信息 中 除了 异常 原因 、 现 象 外 还 有 重要 的 设备 系统 、 状 态 信息 。 信 息 一 旦 被 攻击 
者 获得 ， 会 对 网 络 造 成 很 大 的 威胁 。 


2.2 SNMP 管理 系统 


在 实施 网 络 管理 时 ， 构 成 了 一 套 由 五 部 分 构成 的 网 络 管理 系统 。 这 5 部 分 分 别 是 : 被 管 设备 、 
管理 代理 、 网 络 管理 器 、 网 络 管理 协议 和 管理 信息 库 。 


(1) 被 管 设备 (Managed Devices): 被 网 络 管理 员 监 控 管 理 的 设备 。 

(2) 管理 代理 (Agent): 这 是 驻 留 在 被 管 设备 中 的 软件 程序 ， 主 要 用 于 获得 被 管 设备 的 硬件 
信息 、 系 统 配 置 、 运 行 状 态 等 信息 。 一 般 代 理 程序 都 是 设备 出 厂 设置 的 。 

(3) 网 络 管理 器 (Network Manager): 用 于 管理 、 监 控 其 他 设备 的 管理 服务 器 。 

(4) 网 络 管理 协议 (Network Management Protocol): 提供 了 一 种 从 网 络 上 的 设备 中 收集 网 
络 管理 信息 的 方法 。 

(5) 管理 信息 库 (Management Information Base，MIB ): MIB 是 一 个 信息 存储 库 ， 定 义 了 数 
干 个 数据 对 象 。 网 络 管理 员 可 以 通过 控制 这 些 数 据 对 和 象 来 完成 网 络 设备 的 控制 、 监 控 和 配置 。 

SNMPv3 可 以 实现 分 层 的 网 络 管理 模型 ， 一 般 整 个 网 络 管理 系统 需要 有 一 个 网 络 管理 服务 器 、 
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几 个 中 间 管 理 服务 器 、 多 个 被 管 设备 、 和 一 个 或 多 个 MIB 管理 信息 库 。 图 2-1 给 出 一 个 多 层次 的 
网 络 管理 系统 模型 。 


一 三 而 时 两 ] 
管理 应 用 人 


以 Manager 身 
网 络 管理 服务 器 | 六 份 对 下 代 发 布 失 
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| \ 一 ~ | 命令 
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中 间 管 理 服务 器 | 本 
一 
2 
被 管 设备 (Agent) (Agent) (Agemt) 
国 全 


2.3 SNMP 实现 机 制 


SNMP 网 络 管理 系统 构成 后 ， 如 何 实现 工作 呢 ? 这 主要 通过 以 下 四 项 工作 来 实现 。 


(1) 管理 服务 器 向 被 管 设备 的 代理 提出 询问 消息 ， 以 获取 指定 信息 。 

(2) 代理 接收 到 管理 服务 器 的 询问 之 后 ， 自 动 应 答 消 息 。 

(3) 代理 主动 地 向 管理 服务 器 提供 有 关 被 管 设备 性 能 、 状 态 、 错 误 等 的 自 陷 消息 。 

(4) 管理 服务 器 使 用 基于 轮 询 和 中 断 的 方式 实时 进行 被 管 设备 的 信息 收集 。 

总 结 以 上 四 项 工作 内 容 ，SNMP 的 实现 机 制 一 共产 生 了 五 种 消息 ， 分 别 是 : getrequest、 
getnetrequest、setrequest、getresponse 和 trap。 用 图 形 来 表示 管理 服务 器 和 代理 程序 之 间 的 这 五 种 
消息 ， 可 构成 如 图 2-2 所 示 的 网 络 管理 框架 。 

网 络 管理 服务 器 网 络 代理 客户 端 


getrequest 
UDP 端口 161 


etresponse 
UDP 端口 161 Ld 


es ee UDP 端口 161 


Eetrespons 
UDP 端口 161 


Setrequest 
UDP 端口 161 


getresponse 
UDP 端口 161 


wD 一 


图 2-2 
各 种 消息 的 意义 如 下 。 
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(1) getrequest: 用 于 向 被 管 设 备 的 代理 请 求 提取 网 管 信息 。 
(2) getnetrequest: 请 求 读 取 从 被 管 设备 提取 的 管理 信息 。 

(3) setrequest: 请 求 修改 或 设置 被 管 设备 的 管理 信息 。 

(4) getresponse: 对 各 种 读 取 和 修改 管理 信息 的 请 求 进行 应 答 。 
(5) trap: 主动 向 管理 服务 器 报告 被 管 设备 中 发 生 的 事件 。 


SNMP 协议 主要 使 用 的 是 UDP 协议 的 161 和 162 端口 ， 其 中 只 有 trap 信息 使 用 的 是 
162 端口 ,其 他 都 是 161 端口 .在 使 用 网 络 安全 设备 进行 端口 过 滤 时 判定 是 否 有 SNMP 
提 示 流量 需要 通过 ， 如 有 需要 ， 要 单独 指定 该 流量 通过 安全 设备 。 


确定 了 SNMP 网 络 管理 协议 实现 网 络 管理 时 的 几 种 消息 ， 还 需要 了 解 网 络 管理 服务 器 是 如 何 
发 送 请 求 收集 数据 的 。 这 主要 依靠 三 种 方式 来 实现 ， 分 别 是 轮 询 、 中 断 和 面向 自 陷 的 轮 询 。 


(1) 轮 询 (polling): 网 络 管理 服务 器 会 一 次 向 所 有 被 管 设备 代理 发 送 getrequest 消息 ， 询 问 
完 最 后 一 个 设备 后 ， 会 从 第 一 个 设备 继续 发 送 getrequest 消息 。 通 过 这 种 不 断 循环 的 询问 方式 实时 
的 获取 被 管 设备 的 管理 信息 。 但 是 这 种 方式 获取 的 实时 信息 ,往往 会 出 现 错误 的 实时 性 , 轮 询 方式 


如 图 2-3 所 示 。 
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(2) 中 断 〈Interrupt): 被 管 设 备 代理 在 发 现 设备 异常 事件 时 ， 主 动向 管理 服务 器 发 送 自 陷 信 
息 。 如 果 被 管 设 备 的 代理 不 主动 发 送 ， 网 络 管理 服务 器 无 法 获取 被 管 设备 信息 ， 中 断 方式 如 图 2-4 
所 示 。 
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管理 服务 器 
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图 2-4 
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(3) 面向 自 陷 的 轮 询 (trap-directed polling): 单一 的 使 用 轮 询 或 者 中 断 都 存在 管理 上 的 缺陷 ， 
所 以 一 般 建议 采取 两 者 结合 的 方式 实施 网 络 管理 ， 如 图 2-5 所 示 。 


[= 
~ 
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图 2-5 


2.4 SNMP 安全 分 析 与 安全 机 制 


在 SNMP 协议 中 确保 安全 的 机 制 之 一 就 是 community string 〈 共 同体 )， 所 谓 community string 
是 SNMP 管理 服务 器 和 代理 之 间 进 行 身份 认证 的 一 个 口令 。 管 理 服 务 器 在 向 代理 发 送 请 求 信息 时 
会 带 着 自身 指定 的 共同 体 名 一 起 发 送 , 被 管 设备 代理 接收 到 请 求 信 息 , 会 与 自身 设置 的 共同 体 名 进 
行 比较 ， 如 果 两 个 共同 体 名 一 致 ， 则 进行 消息 应 答 ， 否 则 丢弃 SNMP 管理 请 求 信息 。 共 同体 名 认 
证 原理 可 以 用 图 2-6 来 表示 。 


网 络 管理 服务 器 


世 管理 数据 :共同体 
一 
信息 


SNMP 共同 体 的 作用 可 以 总 结 为 以 下 三 点 。 

(1) 认证 服务 : 可 以 指定 被 授权 的 管理 服务 器 才 有 访问 被 管 设 备 管理 信息 的 权限 。 

(2) 访问 策略 : 对 不 同 的 管理 服务 器 可 以 设 定 不 同 的 管理 级 别 ， 以 实现 分 层 多 级 网 络 管理 。 

(3) 代理 服务 : 可 用 于 中 间 管 理 服务 器 以 代理 身份 提供 认证 服务 和 访问 策略 ， 限 制 上 级 管理 
服务 器 对 下 级 被 管 设备 的 管理 。 

由 于 很 多 设备 都 设置 了 默认 的 共同 体 名 ， 所 以 网 络 管理 会 存在 安全 隐患 。 在 架设 网 络 管理 系 
统 时 一 定 要 使 用 具有 较 高 安全 性 的 共同 体 名 。 
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2.5 配置 SNMP 网 络 管理 协议 


网 络 环境 中 的 设备 种 类 比较 多 ， 想 要 对 所 有 设备 进行 管理 ， 必 须要 先 开启 这 些 设 备 的 SNMP 
网 络 管理 协议 ， 下 面 主要 对 Windows、Linux、Cisco 路 由 器 三 种 常见 设备 的 SNMP 协议 开启 、 配 
置 方法 进行 介绍 。 
2.5.1 开启 windows 的 SNMP 协议 

安装 Windows 操作 系统 的 主机 在 网 络 中 使 用 的 比例 比较 大 ,常见 的 有 Windows XP、Windows 
Server 2003、Windows Server 2008、Windows 7 等 ， 但 是 无 论 哪 一 个 版 本 的 Windows 系统 其 安装 、 
配置 SNMP 的 方法 都 是 相似 的 。 下 面 以 Windows Server 2003 为 例 进行 介绍 。 

1. 安装 SNMP 组 件 

大 部 分 的 Windows 操作 系统 是 没有 安装 SNMP 组 件 的 ， 所 以 首先 要 进行 SNMP 的 组 件 安装 ， 
具体 操作 步骤 如 下 。 

tO 贡 单 击 【 开 始 】〗 按 钮 ， 在 弹出 的 菜单 中 选择 【设置 】>【 控 制 面板 】 菜 单 命令 ， 如 图 2-7 
所 示 。 


> indows cataog 


协 Windows Update 


看 任务 栏 和 [开始 | 菜单 中 


图 2-7 
2 弹出 【控制 面板 】 窗 口 ， 选 择 【 添 加 或 删除 程序 〗 选 项 ， 如 图 2-8 所 示 。 
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图 2-8 


t@3 弹出 【添加 或 删除 程序 】〗 窗 口 ， 在 左 侧 的 列表 中 选择 【添加 /删除 windows 组 


如 图 2-9 所 示 。 
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图 2-9 


件 】 选 项 ， 


0 旨 弹出 【Windows 组 件 向 导 】 对 话 框 ， 在 【组 件 】 选 项 列表 中 双击 【管理 和 监视 工具 】 选 


项 ， 如 图 2-10 所 示 。 
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到 
Tin = 
可 以 添加 或 删除 Windows 的 组 件 - 
| 
件 ， 请 单 i 会 
2 全 守 和 人 
所 
| 包 国 更 新 根 证 0.0 吧 汉 
口 肥 其 它 的 网 络 文件 和 打印 服务 00 皮 司 
口 罗素 引 服务 0.0 mm 
口 9 服务 2.6 有 B 工 
撞 述 。 包括 有 务 器 和 网 络 管理 及 此 视 的 工具 。 
所 天空 间 : 24 
可 用 而 音 守 间 zs5.1 四 | 


下 | 


图 2-10 


to9j 弹出 【管理 和 监视 工具 〗 对 话 框 ， 选 择 【简单 网 络 管理 协议 (SNMP ) 〗 复 选 框 ， 单 击 
【 确定】 按钮 ， 如 图 2-11 所 示 。 


到 
ee 


管理 和 监视 工具 的 子 姐 件 C5); 
局 mI Sm 提供 程序 
更 mr Windors Instuler 提供 程序 


的 连接 点 服务 0.2 有 
贤 连接 管理 器 管理 工具 包 12 有 
央 了 3 点 视 了 具 25m ol 


描述 。 包含 代理 程序 可 以 监视 网 络 设备 的 活动 并 且 向 网 络 控制 台 工 作 站 汇报 。 


图 2-11 


086j 返回 【Windows 组 件 向 导 〗 对 话 框 ，【〖 管 理 和 监视 工具 】〗 选 项 已 被 勾 选 ， 单 击 【 下 一 步 】 
按钮 ， 如 图 2-12 所 示 。 
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图 2-12 
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I0 系统 自动 安装 已 选 组 件 ， 并 显示 安装 进度 ， 如 图 2-13 所 示 。 
习 


正在 配置 组 件 
安装 程序 正在 根据 您 的 请 求 进行 配置 更 改 . 


二 《请 稍 候 ， 安 装 程序 正在 配置 钥 件 。 所 花 时 间 取决 于 选 定 的 组 件 。 
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便 


图 2-13 


08j 组 件 安装 完成 后 ， 单 击 【完成 〗】 按 钮 ， 如 图 2-14 所 示 。 


完成 “Windows 组 件 向 导 ” 


您 已 成 功 地 完成 了 Windows 组 件 向 导 。 


要 关闭 此 向 导 ， 请 单 击 “ 完 成 ” 


图 2-14 


2. 配置 SNMP 服务 项 


安装 SNMP 组 件 后 ， 默 认可 以 直接 使 用 ， 但 是 不 同 的 网 络 管理 环境 要 求 或 管理 参数 配置 不 尽 
相同 ， 所 以 在 使 用 之 前 ， 首 先 要 保证 SNMP 服务 的 正确 可 用 。 

配置 SNMP 服务 的 具体 操作 步骤 如 下 。 

0 各 单 击 【 开 始 】〗 按 钮 ， 在 弹出 的 菜单 中 选择 【运行 〗 菜 单 命令 。 弹 出 【运行 〗 对 话 框 ， 在 
【打开 】 文 本 框 中 输入 “services.msc” 命 令 ， 单 击 【 确 定 】〗 按 钮 如 图 2-15 所 示 。 
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而 本 本 和 


De 可 

取消 | 放 @ | 
图 2-15 

虽 有 3 弹出 【服务 】 窗 口 ， 在 右 侧 系统 服务 列表 中 可 以 找到 【SNMP Service〗 (SNMP 服务 ) 


和 【SNMP Trap Service〗 (SNMP 陷阱 ) 服务 项 ， 两 个 服务 均 处 于 【已 启动 〗 状 态 ， 说 明 当前 主 
机 的 SNMP 服务 可 用 ， 双 击 【SNMP Service】〗 (SNMP 服务 ) 服务 项 ， 如 图 2-16 所 示 。 


文件 四 哲 作 (查看 WW 帮助 D 


中外 || 轩 | 办 日 区 | 包 国人 


图 2-16 


I03) 弹出 【SNMP Service 的 属性 (本 地 计算 机 ) 〗 对 话 框 ， 选择 【陷阱 】〗 选 项 卡 ， 如 图 2-17 
所 示 。 


可 执行 文件 的 路 径 00 : 
EWINDONS\Systen32\snap. exe 
后 动 类 型 到 ): 。 「 目 动 二 


服务 状态 - 已 启动 
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当 从 此 处 局 动 服务 时 ,您 可 指定 所 适用 的 启动 参数 。 


局 动 参数 怒 


| 
图 2-17 


i@ 刍 当主 机 出 现 异 常 时 , 可 以 通过 陷阱 服务 将 异常 现象 主动 反馈 给 SNMP 管理 服务 器 , 在 【 团 
体 名 称 】〗 文 本 框 中 输入 有 效 团体 名 ， 本 实例 采用 默认 值 “public”， 单 击 【 添 加 】 按 钮 ， 如 图 2-18 
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所 示 。 
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图 2-18 


加 弹出 【SNMP 服务 配置 】 对 话 框 ， 在 【主机 名 ,外 或 IPX 地 址 】 文 本 框 中 输入 陷阱 目标 
主机 地 址 ， 一 般 为 网 络 管理 服务 器 的 主机 地 址 ， 单 击 【 添 加 】 按 钮 ， 如 图 2-19 所 示 。 
I 


主机 各 ,IP 或 IPX 地 址 0): mw | 
192. 168. 1. 200 


图 2-19 


W086j 返回 【陷阱 〗 选项 卡 ， 在 【陷阱 目标 〗 列 表 中 显示 新 添加 的 陷阱 目标 主机 地 址 ， 如 图 2-20 
所 示 。 


SmP Service 的 属性 (本 地 计算 机 ?xl 
常规 | 警 录 | 恢复 | 代理 。 陷阱 | 安全 | 依存 关系 | 


Pa 


团体 名 称 CE) 
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从 列表 中 册 B @) 


Pr 


图 2-20 
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四 选择 [安全 ] 选 项 卡 , 在 [接受 团体 名 称 ] 窗 格 中 显示 了 可 用 团体 名 ,默认 团体 名 为 “pubic”， 
权限 为 “ 读 写 ”， 单 击 【 添 加 】 按 钮 ， 如 图 2-21 所 示 。 
SHEP Service 的 尾 己 (本 地 计算 机 ) 21x| 
常规 | 旺 录 | 人 恢复 | 代理 | 陷 时 ”安全 | 依存 关系 | 
厅 发 送 身 份 验证 陷 了 QD 


添加 四 - 总 加 EE) MP ) 


他 接受 来 自任 何 主机 的 SNMP 数据 包 人) 
三 人 接受 来 自 这 些 主机 的 SNMP 数据 包 CD) 


添加 Ed) ] 到 及 


图 2-21 
to8j 弹出 【SNMP 服务 配置 〗】 对 话 框 ， 在 【团体 名 称 】〗 文 本 框 中 可 以 输入 新 的 可 用 团体 名 ， 
如 图 2-22 所 示 。 
本 村 


图 2-22 


to9j 打开 【团体 权限 】 下 拉 菜 单 ， 可 以 设 定 对 应 团体 名 的 权限 ， 可 以 根据 实际 需求 进行 选择 ， 
单 击 【 确 定 】〗】 按 钮 ， 如 图 2-23 所 示 。 


蜡 g 返回 【安全 ] 选项 卡 ， 本 实例 添加 了 一 个 团体 名 为 “SMNP”， 权 限 为 “只 读 ” 的 接受 
团体 名 称 ， 单 击 【确定 〗】 按 钮 ， 完 成 SNMP 服务 的 设置 ， 如 图 2-24 所 示 。 
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图 2-24 
2.5.2 ”开启 Linux 的 SNMP 协议 
Linux 系统 的 版 本 比较 多 ， 很 多 系统 默认 没有 安装 SNMP 软件 包 ， 需 要 进行 手动 安装 。SNMP 
软件 包 比 较 小 ， 本 实例 采用 RPM 包 安 装 方法 ， 下 面 介绍 其 具体 的 安装 与 配置 方法 。 
1. 安装 SNMP 软件 包 
SNMP 主要 需要 安装 两 个 包 分 别 是 net-snmp-libs 和 net-snmp， 将 软件 包 下 载 到 /root 目录 ， 运 
行 RPM 命令 进行 安装 ， 具 体 配置 命令 如 下 。 


[root@localhost ~]#rpm -ivh Net-snmp-libs-5.1.2-11 
[root@localhost ~]#rpm -ivh net-snmp-5.1.2-11 


查看 软件 包 是 否 安装 成 功 。 

[root@localhost ~]# rpm -qa |grep snmp 

net-snmp-libs-5.1.2-11 

net-snmp-5.1.2-11 

2. 配置 SNMP 服务 

安装 好 后 需要 对 mib 支持 和 community string (共同 体 ) 进行 设置 ， 默 认 SNMP 主 配置 文件 为 
/etc/snmp/snmpd.conf， 具 体 配 置 命令 如 下 。 

[root@localhost ~]#vi /etc/snmp/snmpd.conf 

打开 配置 文件 后 需要 做 以 下 几 点 配置 。 


(1) 修改 community string 
在 配置 文件 41 行 可 以 设 定 默认 的 community string 值 ， 将 public 改 为 更 安全 的 口令 。 
41 Com2sec notConfigUser default public 
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(2) 修改 管理 信息 库 
在 配置 文件 62 行 可 以 修改 默认 使 用 的 管理 信息 库 ， 将 该 行 的 systemview 修改 为 mib2， 并 确 
保 88 行 前 面 的 # 号 去 掉 。 


62 Access notConfigGroup any noauth exact s mib2 none none 


88 View mib2 included .iso.org.dod.intemet.mgmt.mib-2 fc 
(3 ) 重启 SNMP 服务 
配置 结束 后 必须 重启 服务 才 可 生效 。 SNMP 程序 的 服务 名 为 snampd, 可 以 使 用 以 下 两 种 方法 重 
启 该 服务 。 
[root@localhost ~]#/etc/init.d/snmpd testart 
或 


[root@localhost ~]#Service snmpd restart 
2.5.3 ”开启 网 络 设备 的 SNMP 协议 


以 思科 路 由 器 为 例 配 置 SNMP 协议 ， 具 体 配置 命令 如 下 。 


Router(config)#snmp-server community howin rw 

/配置 本 路 由 器 的 读 写字 串 为 howin 

Router(config)#snmp-server community howin ro 

/配置 本 路 由 器 的 只 读 字 串 为 howin 

Router(config)#snmp-server enable traps 

// 允 许 路 由 器 将 所 有 类 型 SNMP Trap 发 送出 去 

Router(config)#snmp-server host IP_SERVER traps howin 

// 指 定 路 由 器 SNMP Trap 的 接收 者 ， 发 送 Trap 时 采用 howin 作为 字 串 
Router(config)# snmp-server trap-source loopback0 

/将 loopback 接口 的 IP 地 址 作为 SNMP Trap 的 发 送 源 地 址 ， 注 意 先 配 好 IP 地 址 


2.6 典型 SNMP 网 络 管理 案例 


前 面 对 SNMP 网 络 管理 协议 做 了 系统 介绍 ， 为 了 更 直观 的 看 到 SNMP 网 络 管理 协议 的 用 途 ， 
下 面 列举 一 个 简单 的 例子 。 

本 案例 采用 Snmputil 工具 来 实现 网 络 管理 ，snmputil.exe 是 命令 行 下 的 工具 ， 要 在 命令 行 下 才 
能 运行 ， 具 体 调用 snmputil.exe 的 操作 步骤 如 下 。 

I0 和 9 将 下 载 到 的 Snmputil 工具 放 在 C 盘 根 目录 下 ， 单 击 【开始 】 按 钮 ， 在 弹出 的 菜单 中 选择 
【运行 〗】 莱 单 命令 。 弹 出 【和 运行】 对 话 框 ， 在 【打开 】 文 本 框 中 输入 “cmd” 命 令 ， 单 击 【确定 】 
按钮 ， 如 图 2-25 所 示 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 
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请 哇 入 程序、 文件 夫 、 文 档 或 Internet 资源 的 各 
7 次 ,findors 将 为 远亲 并 


打开 wD: 古 | 


02j 弹出 命令 提示 符 窗口 ， 输入 “C: ”， 按 【Enter]】 键 确认 ， 如 图 2-26 所 示 。 


图 2-26 


如 果 Snmputil 工具 没有 放 在 盘 符 的 根 目录 下 , 例如 放 在 C 盘 下 的 Snmputil 文 件 夹 下 ， 
需要 进入 Snmputil 文件 夹 下 ， 命 令 为 “cd Snmputil”， 如 图 2-27 所 示 。 


=|9|x| 


图 2-27 


03j 输入 “snmputil.exe”， 按 【Enter】 键 确认 ， 即 可 调用 Snmputil 工具 ， 如 图 2-28 所 示 。 
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图 2-28 


Snmputil 工具 通过 指定 的 MIB 标识 符 查 看 
MIB 管理 对 象 的 标识 符 。 在 网 络 管理 服务 器 和 被 管 设备 上 安装 SNMP 程序 ， 
名 “public”。 
假设 被 管理 设备 的 耳 地 址 为 192.168.1.104， 使 用 Snmputil 工具 查看 被 
作 步 又 如 下 。 
01 输入 命令 “snmputil.exe walk 192.168.1.104 public .1.3.6.1.2.1.25.4.2.1.2”， 按 【Enter] 键 
确认 ， 即 可 显示 设备 的 当前 进程 列表 ， 如 图 2-29 所 示 。 


里 设备 信息 的 具体 操 


| 口 | | 


在 图 2-29 中 ,【value】〗 参 数 后 显示 的 是 查询 的 管理 信息 。 


提 示 
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I02) 输入 命令 “snmputil walk 192.168.1.104 public .1.3.6.1.4.1.77.1.2.25.1”， 按 【Enter】 键 确 
认 ， 即 可 显示 设备 的 系统 用 户 列表 ， 如 图 2-30 所 示 。 


区 本 其 ~ 到 本 


-lanmanager-lanmgr-2 


- enterpr -lanman 
able .suUser "| 198-199 .185.119.185. 


图 2-30 


03j 输入 命令 “snmputil walk 192.168.1.104 public .1.3.6.1.4.1.77.1.4.1.0”， 按 【Enter】 键 确 
认 ， 即 可 显示 设备 使 用 的 域名 ， 如 图 2-3 


上 述 被 管 设 备 没有 配置 域名 ， 所 以 没有 结果 显示 。 
提 示 
04j 输入 命令 “snmputil walk 192.168.1.104 public .1.3.6.1.2.1.25.6.3.1.2”， 按 【Enter] 键 确 
认 ， 即 可 显示 设备 上 安装 的 软件 列表 ， 如 图 2-32 所 
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图 2-32 


.05 输入 命令 “snmputil walk 192.168.1.104 public .1.3.6.1.2.1.1”， 按 【Enter】 键 确认 ， 即 可 
显示 设备 的 系统 信息 ， 如 图 2-33 所 示 。 


ctID-B 
4-1.311.1.1.3.1.2 


Nane -日 
TT | 


2.7 专家 答疑 


(1) SNMP 协议 本 身 存在 一 些 安全 问题 ， 应 当 如 何 确保 SNMP 管理 安全 呢 ? 
答 : 目前 SNMP 主要 有 三 个 版 本 ， 其 中 SNMPv1 和 v2 两 个 版 本 较 弱 ， 而 SNMPv3 采用 了 新 
的 SNMP 扩展 框架 , 安全 性 和 管理 上 有 很 大 的 提高 , 所 以 要 尽量 让 网 络 环境 支持 SNMPv3 的 使 用 。 
很 多 支持 SNMP 服务 的 产品 的 出 厂 设 置 中 , 默认 的 community-string 值 是 “public”( 只 读 访问 ) 
和 “private”( 读 / 写 访问 )。 攻 击 者 往往 会 使 用 这 两 个 community-string 扫描 网 络 ， 实 现 网 络 攻击 。 
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所 以 在 配置 设备 时 ， 这 两 个 默认 口令 一 定 要 改 掉 。 

攻击 者 通常 处 于 外 部 网 络 ， 通 过 向 边界 设备 发 送 SNMP 请 求 信息 ， 以 查找 漏洞 实现 攻击 。 而 
SNMP 协议 只 在 内 部 网 络 正常 运行 即 可 满足 管理 的 需要 。 所 以 , 可 以 在 边界 设备 外 侧 端口 过 滤 所 有 
的 SNMP 信息 ， 以 避免 信息 外 泄 和 网 络 攻击 。 

在 很 多 网 络 系统 中 实施 网 络 管理 时 ， 只 有 个 别 的 网 络 管理 系统 需要 发 生 SNMP 请 求 。 所 以 ， 
网 络 管理 系统 中 的 SNMP 代理 被 管 客户 机 ) 可 以 设置 仅 接受 管理 服务 器 发 送 的 SNMP 请 求 。 这 
样 可 以 降低 内 部 攻击 风险 。 

(2) MIB 管理 信息 库 结构 层次 复杂 ， 除 基本 信息 库 外 各 个 厂商 还 有 MIB 管理 信息 库 ， 如 果 
直接 使 用 对 象 标识 符 的 话 很 难 记 忆 ， 在 实际 网 络 管理 中 应 当 如 何 使 用 呢 ? 

答 : 由 于 网 络 管理 信息 量 的 庞大 ， 导 臻 MIB 管理 信息 库 很 复杂 。 如 果 单 靠 MIB 管理 信息 库 对 
象 的 标识 符 去 查看 对 应 管理 信息 ， 根 本 就 不 现实 。 

一 般 各 种 网 络 管理 产品 生产 时 ， 都 会 自 带 有 一 定 的 MIB 查询 工具 ， 使 用 这 些 工 具 不 需要 记忆 
对 象 标识 符 , 可 以 利用 工具 直观 的 看 到 想 要 的 信息 。 而 且 大 部 分 网 络 管理 软件 都 有 自动 扫描 通用 信 
息 的 功能 ， 会 以 图 标的 形式 显示 出 来 ， 很 少 需 要 用 户 直接 操作 MIB 信息 库 。 
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网 络 技术 发 展 至 今 ， 企 业 和 社会 的 基础 网 络 环境 已 经 基本 完善 。 而且 近年 来 网 络 管理 技术 的 
越 来 越 被 重视 ,很 多 企业 开始 着 手 加 强 网 络 管理 .对 于 一 个 现实 的 网 络 环境 , 如 何 实施 网 络 管理 呢 ? 
下 面 结合 一 个 网 络 管理 案例 进行 需求 分 析 、 方 案 设计 及 项 目 实施 的 讲解 。 


3.1 项 目 介绍 


在 进行 网 络 管理 分 析 之 前 ， 首 先 要 了 解 企业 概况 、 网 络 现状 等 信息 。 下 面 是 案例 企业 的 简介 
及 网 络 概况 。 

1. 公司 简介 

某 IT 企业 成 立 于 2004 年 ， 主 要 从 事 软 件 开 发 及 电子 产品 生产 。 在 这 七 年 时 间 里 ， 企 业 有 了 
飞速 的 发 展 , 除了 北京 总 部 外 , 在 全 国 各 地 还 有 多 家 子 公司 。 北京 总 部 员工 数量 比较 多 , 有 200~300 
多 名 , 被 分 配 在 四 个 工作 区 。 除 此 之 外 还 有 一 部 分 员工 需要 经 常 出 差 移动 办 公 。 各 个 子 公 司 员工 数 
量 相对 较 少 ， 主 要 进行 产品 加 工 及 分 销 工作 。 

2. 网 络 现状 

网 络 现状 可 以 总 结 为 以 下 几 点 。 

(1) 全 部 使 用 cisco 产品 ， 并 使 用 了 三 层 交 换 机 。 

(2) 总 公司 与 子 公 司 业 务 量 比较 少 ， 采 用 VPN 连接 。 

(3) 对 于 移动 办 公用 户 和 家 庭 办 公用 户 使 用 远程 访问 VPN 的 方式 访问 企业 服务 器 。 

(4) 在 总 公司 内 配置 了 供 员工 访问 的 FTP、WEB、 数 据 库 等 服务 器 。 

(5) 为 了 宣传 企业 形象 ， 在 公共 网 络 IDC 机 房 托 管 一 台 服 务 器 ， 用 于 发 布 企业 官方 网 站 、 
OA 及 邮件 系统 。 

(6) 企业 总 部 用 户 使 用 全 交换 网 络 互联 ， 为 了 减少 广播 使 用 了 VLAN 隔离 。 

(7) 企业 总 部 出 口 采用 10M 光纤 ， 子 公司 一 般 采 用 4M 宽带 。 


3. 网 络 拓扑 
根据 网 络 环境 绘制 如 图 3-1 所 示 的 网 络 拓扑 图 。 
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某 公司 网 络 工程 图 例 。 


IDC 机 房 托 管 服务 器 


二 历 四 
3: 172.16.11.0-20.0、 = : 一 ， 
3: 172.16.21.0—~30.0 ----- 天 3 一 3 
\4: 172.16.31.0—40.0, Se 一 


172.18.0.0/16 


\® 1172.19.0.0/16 


子 公司 及 合作 企业 


VLAN 1 一 10，172.16.1.0-172.16.10.0 
工作 区 1 


图 3-1 
4. 网 络 管理 现状 
企业 网 络 环境 已 成 规模 ， 但 是 网 络 管理 依然 落后 ， 目 前 存在 的 网 络 管理 问题 有 以 下 几 点 。 


(1) 网 络 内 经 常 出 现 地 址 冲突 现象 ， 广 播 流量 过 大 。 
(2) 虽然 出 口 带宽 为 10M 光纤 ， 但 是 内 网 员工 访问 公 网 时 网 速 依然 不 容 乐 观 。 
(3) 企业 网 络 故障 恢复 时 效 低 ， 经 常会 因为 网 络 故障 影响 公司 业务 及 员工 办 公 


随 着 业务 的 扩展 ， 企 业 对 网 络 环境 的 可 靠 性 、 稳 定性 要 求 越 来 越 高 ， 必 须 完 善 现 有 网 络 的 网 
络 管理 体系 。 


3.2 需求 分 析 


结合 网 络 管理 现状 ， 做 出 如 下 分 析 。 
1. 网 络 内 经 常 出 现 地 址 冲突 


造成 企业 内 频繁 出 现 地 址 冲突 的 原因 有 两 点 。 其 一 ， 现 在 使 用 移动 办 公设 备 的 员工 越 来 越 多 
新 增 的 移动 设备 在 没有 充足 IP 地 址 的 情况 下 , 会 被 设置 成 其 他 固定 台式 机 的 人 P 地 址 , 台式 机 地 址 
被 占用 后 为 了 能 联网 会 更 改 其 P， 可 能 又 和 其 他 主机 地 址 冲突 ， 这 样 循 环 下 去 地 址 冲突 现象 会 越 
来 越 严重 。 其 二 ， 木 马 病毒 一 直 是 电脑 使 用 者 头痛 的 程序 ， 其 中 像 ARP 病毒 就 可 以 造成 局 域 网 地 
址 冲突 ， 如 果 一 台电 脑 感染 后 ， 此 病毒 会 迅速 向 网 络 中 的 其 他 主机 发 送 地 址 欺骗 信息 ,造成 这 些 主 
机 出 现 地 址 冲突 现象 ， 而 且 这 类 病毒 极 易 传染 。 

解决 办 法 : 要 解决 地 址 冲突 可 以 从 两 方面 考虑 ， 首 先是 地 址 不 足 ， 管 理 员 在 进行 地 址 分 配 时 
可 以 多 做 元 余 ， 比 如 50 人 的 部 门 可 以 分 配 拥 有 126 个 可 用 IP 的 子 网 ， 同 时 再 配置 DHCP 动态 地 
址 分 配 服务 器 ， 所 有 新 增 主机 全 部 采用 动态 P 地 址 。 其 次 所 有 关键 设备 ， 如 路 由 器 、 交 换 机 全 部 


中 小 型 企业 网 络 管理 项 目 概述 与 分 析 ”第 3 章 


配置 了 +MAC+ 端 口 的 地 址 绑 定 ， 所 有 主机 也 可 以 执行 地 址 绑 定 的 脚本 文件 。 
2. 广播 流量 过 大 


广播 流量 过 大 主要 有 两 个 原因 ， 其 一 是 广播 域 太 大 ， 其 二 是 由 病毒 或 木马 引起 的 。 本 方案 中 
已 经 做 了 较 细致 的 VLAN 划分 ， 广 播 域 已 经 被 缩小 ， 可 以 不 考虑 广播 域 的 问题 。 病 毒 和 木马 都 具 
有 较 强 的 传染 性 ， 当 企业 内 的 某 台 主机 感染 病毒 或 木马 后 ， 可 能 会 向 局 域 网 内 的 其 他 主机 发 送 大量 
广播 信息 ， 以 实现 网 络 攻击 与 传染 。 

解决 办 法 : 通过 网 络 性 能 检测 工具 实时 检测 广播 源 ， 并 及 时 隔离 清除 威胁 。 

3. 网 速 不 容 乐观 


目前 网 络 带宽 已 经 有 10M 光纤 ， 这 对 于 一 般 企 业 来 说 已 经 够 用 了 ， 所 以 造成 网 速 较 慢 的 原因 
可 以 从 三 个 方面 考虑 。 其 一 ， 局 域 网 带宽 被 大 量 广播 消耗 掉 了 ， 很 多 网 络 都 还 是 100M 网 络 环境 ， 
如 果 短 时 间 内 出 现 了 大 量 的 广播 流量 ， 就 会 出 现 网 络 拥塞 ， 导 致 网 络 访问 请 求 延 迟 过 高 。 其 二 ， 有 
个 别 用 户 在 使 用 下 载 工具 或 观看 在 线 视频 ，10M 光纤 网 络 ， 带 宽 资源 已 经 算是 充足 ， 但 是 依然 有 
个 限度 的 ， 如 果 网 络 内 出 现 大 量 的 视频 或 文件 下 载 流量 ， 必 然 会 导致 其 他 用 户 服务 抢 出 口 带 宽 。 其 
三 , 网络 攻击 阻碍 互联 网 访问 ， 比 如 拒绝 服务 式 网 络 工具 ， 可 以 拥塞 公 网 出 口 ,使 内 网 请 求 信 息 无 
法 正常 转发 。 

解决 办 法 : 可 以 在 网 络 内 架设 流量 监控 系统 ， 实 施 监控 所 有 网 络 流量 ， 通 过 监控 系统 可 以 分 
析出 占用 带宽 的 数据 源 , 然后 再 使 用 网 络 管理 工具 断 开 这 些 主 机 的 网 络 或 限制 其 流量 。 同 时 还 可 以 
在 网 络 设备 上 做 访问 控制 ， 特 别 要 限制 视频 流量 和 特殊 网 站 流量 通过 出 口 设备 。 


4. 网 络 故障 频繁 


企业 网 络 环境 相对 复杂 ， 从 企业 建成 发 展 至 今 ， 网 络 设备 随 着 业务 扩充 不 断 的 增加 ， 新 旧 设 
备 混合 , 再 加 上 管理 混乱 , 所 以 网 络 故障 才 会 频繁 发 生 。 网 络 环境 的 负载 如 果 不 能 满足 通信 的 要 求 ， 
过 多 业务 流量 会 让 网 络 处 于 超 负荷 工作 状态 ， 比 如 网 络 设备 的 背 板 带宽 、 传 输 速 率 、CPU 性 能 等 。 
如 果 能 在 网 络 隐患 刚刚 出 现 ， 还 处 于 萌芽 状态 时 就 将 其 扼杀 ， 网 络 故障 自然 就 少 了 。 

解决 办 法 : 要 经 常 进行 网 络 性 能 分 析 ， 处 于 关键 位 置 的 设备 需要 有 专门 的 程序 实时 地 监控 其 
运行 状态 、 性 能 指数 ， 在 超出 网 络 负载 之 前 要 做 好 升级 改造 工作 。 


5. 故障 恢复 时 效 低 


故障 恢复 时 效 低 和 不 健全 的 网 络 管理 有 直接 关系 ,企业 飞速 的 发 展 忽 略 了 网 络 管理 的 重要 性 ， 
一 直 采 用 传统 的 管理 方式 , 即便 是 加 入 了 一 些 网 络 管理 设备 ,也 因 网 络 管理 水 平 的 限制 而 成 为 摆设 。 
传统 的 网 络 管理 几乎 采用 人 工 式 的 反应 ， 故 障 发 生 之 前 很 难 察觉 ， 当 故障 发 生 后 才 会 被 发 现 ， 而 这 
时 故障 已 经 发 生 ， 已 经 造成 了 一 定 的 损失 , 恢复 起 来 相对 难度 会 大 一 些 , 单 是 排查 故障 原因 就 需要 
耗费 很 多 时 间 。 

解决 办 法 : 建立 网 络 管理 平台 ， 实 时 监控 网 络 状态 。 通 过 网 络 管理 平台 准确 找 出 故障 点 与 原 
因 ， 做 针对 性 的 故障 恢复 。 

通过 以 上 需求 分 析 可 以 对 网 络 实施 相应 的 改造 ， 具 体 网 络 改造 内 容 可 以 总 结 为 以 下 几 点 。 
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(1) 建立 网 络 基 础 信息 档案 , 包括 网 络 拓扑 结构 、 设 备 数 量 、 地 址 配置 、 功 能 实现 、《MAC+HP+ 
端口 + 用 户 ) 对 应 表 等 。 以 帮助 管理 员 掌握 网 络 ， 并 为 解决 网 络 故障 提供 辅助 资料 。 

(2) 搭建 网 络 管理 平台 ， 做 到 对 整个 网 络 的 实时 监控 。 

(3) 对 重点 网 络 设备 做 性 能 的 实时 监测 。 

(4) 对 企业 内 网 服务 器 和 IDC 机 房 托 管 服务 器 采用 远程 服务 器 监控 程序 ， 进 行 维护 。 

(5) 架设 网 络 流量 监测 分 析 程 序 ， 实 时 监控 网 络 流量 ， 以 方便 发 现 网 络 故障 隐患 及 查找 故障 
原因 。 

(6) 运用 安全 的 网 络 管理 协议 。 


实施 改造 后 企业 网 络 拓扑 结构 没有 太 大 改变 ， 但 是 网 络 管理 能 力 得 到 极 大 的 提升 ， 改 造 后 的 
网 络 拓扑 图 ， 如 图 3-2 所 示 。 


服务 器 群 组 安装 远程 服务 器 监控 程序 


架设 管理 管理 平台 及 网 
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图 3-2 


网 络 中 加 入 了 一 台 专 门 的 网 络 管理 服务 器 ， 用 于 安装 网 络 管理 平台 和 网 络 性 能 监控 服务 器 等 
程序 。 在 所 有 服务 器 安装 了 远程 服务 器 管理 程序 的 客户 端 。 为 了 使 网 络 管理 服务 器 可 以 监控 全 网 流 
量 , 在 所 有 交换 机 中 做 镜像 端口 , 流量 镜像 到 网 络 管理 服务 器 方向 。 在 所 有 网 络 设备 和 计算 机 开启 
SNMP 服务 ， 配 置 安全 的 共同 体 ， 并 配置 必要 的 trap 自 陷 消息 。 


3.3 项 目 实施 流程 


项 目 要 采用 分 步 实施 的 方式 完成 ， 结 合 上 文 的 需求 分 析 ， 网 络 管理 方案 可 以 做 以 下 六 步 操作 。 
3.3.1 获取 网 络 基 本 信息 
获取 网 络 基本 信息 是 管理 整个 网 络 的 根本 ， 作 为 网 络 管理 员 ， 想 要 高 效 的 完成 网 络 管理 任务 ， 
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首先 要 了 解 当前 的 网 络 结构 ， 获 取 基 本 网 络 信息 ， 比 如 网 络 规模 、 主 机 分 布 、IP/MAC/ 主 机 名 /用 户 
对 应 关系 、 设 备 数量 及 分 布 、 设 备 型 号 及 配置 、 主 机 及 服务 器 〈 硬 件 ) 配置 等 信息 。 如 果 网 络 出 现 
问题 ， 就 可 以 根据 事先 掌握 的 基本 信息 快速 的 找到 故障 点 ， 并 加 以 解决 。 

获取 网 络 基本 信息 可 以 通过 现场 调查 和 网 络 扫描 工具 两 种 方式 来 实现 。 获 取 网 络 基本 信息 难 
度 并 不 大 ， 但 是 工作 量 确 不 小 ， 使 用 网 络 扫描 工具 可 以 快速 的 获得 需要 的 、MAC、 计 算 机 名 等 
对 应 信息 , 但 还 是 有 一 些 东 西 是 无 法 用 工具 扫描 到 的 ， 比 如 部 门人 员 分 配 , 这 些 无 法 扫描 到 的 信息 
需要 通过 现场 调查 走访 的 方式 获取 。 常 用 的 网 络 扫 描 工 具有 IPMaster (IP 地 址 管理 工具 )、MAC 
地 址 扫描 器 等 。 

获取 到 网 络 基本 信息 后 ， 可 以 建立 网 络 基本 信息 库 ， 此 信息 库 可 以 使 用 表 的 方式 体现 。 表 3-1 
和 表 3-2 为 给 出 的 参考 样 表 。 


表 3-1 员工 网 络 地 址 统计 表 


姓名 | 部 门 | 办 公 室 。 | 计算 机 名 | IP 地 址 [ MA 地址 | 机 器 配置 | 联系 电话 | 其 他 
| 


【分 网 络 基本 信息 统计 表 要 根据 企业 环境 需求 进行 设计 ， 一 定 要 做 到 准确 、 结 构 清晰 、 易 
查找 。 
提 示 

3.3.2 ”搭建 网 络 管理 平台 


企业 内 的 网 络 设备 比较 多 ， 链 路 连接 也 比较 复杂 ， 一 旦 发 生 网 络 故障 ， 管 理 员 很 难 在 第 一 时 
间 找 出 故障 原因 ， 需 要 经 过 长 期 的 排查 。 而 在 企业 里 ， 每 一 分 钟 的 业务 中 断 都 有 可 能 造成 巨额 的 损 
失 ,， 必 须要 尽量 的 缩短 故障 恢复 的 时 间 。 想 要 缩短 故障 恢复 时 间 ， 需 要 有 良好 的 故障 恢复 能 力 ， 同 
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时 也 需要 有 更 好 的 方法 查找 网 络 故障 原因 。 

网 络 管理 平台 ， 又 叫 网 络 运 维系 统 。 通 过 该 系统 可 以 实时 地 获取 网 络 拓扑 信息 ， 网 络 设备 的 
配置 、 性 能 信息 , 如 果 设 备 出 现 异 常会 通过 各 种 图 表 进行 显示 , 同时 还 可 以 根据 阔 值 进行 报警 提示 。 
这 样 一 来 网 络 性 能 指标 超过 闭 值 时 管理 员 就 可 以 知道 , 通过 调试 可 以 避免 严重 的 网 络 故障 发 生 , 如 
果 网 络 故障 真 的 发 生 了 ， 也 可 以 通过 网 络 管理 平台 清晰 的 找到 故障 点 及 故障 原因 。 

搭建 网 络 管理 平台 需要 在 网 络 管理 服务 器 上 安装 管理 平台 软件 ， 并 在 所 有 被 监控 的 设备 上 运 
行 SNMP 协议 。 搭 建 网 络 管理 平台 可 以 按照 图 3-3 实施 。 
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图 3-3 


目前 使 用 的 比较 多 的 网 络 管理 平台 有 Spiceworks、WhatsUp Gold、HP OpenView、IBM Tivoli 


NetView， 除 此 


之 外 还 有 很 多 类 似 软件 ， 但 是 大 部 分 软件 在 使 用 上 都 大 同 小 异 。 


3.3.3 监控 重点 网 络 设备 


企业 网 络 


有 的 个 别 设备 处 于 关键 位 置 ， 一 旦 损坏 将 对 整个 网 络 的 运作 造成 巨大 的 影响 ， 所 以 


要 采用 专门 的 工具 监测 这 些 设备 的 运行 状态 ， 一 般 监测 的 有 CPU、 出 入 流量 统计 等 信息 。 

很 多 工具 里 面 都 包含 有 这 项 功能 ， 比 如 网 络 管理 平台 和 网 络 流量 性 能 监控 系统 。 除 了 以 上 程 
序 自 带 该 项 功能 外 ， 还 可 以 使 用 SolarWinds 工具 ， 该 工具 是 一 套 非常 全 面 的 网 络 管理 工具 ， 可 以 
实现 中 多 网 络 管理 需求 ， 其 中 值得 注意 的 是 该 工具 专门 嵌入 了 Cisco 设备 管理 功能 。 对 网 络 设备 进 
行 监控 时 不 需要 过 多 操作 ， 只 要 确保 设备 开启 SNMP 协议 即 可 。 

根据 设计 可 以 做 出 如 图 3-4 所 示 的 调整 。 
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某 公司 网 络 架设 管理 管理 平台 及 网 3 SMP 共 光 
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3.3.4 ”实现 服务 器 远程 控制 


企业 的 大 部 分 工作 都 需要 内 外 网 服务 器 作 支 持 ， 所 以 企业 内 网 络 服 务 器 和 IDC 机 房 托管 服务 
器 稳定 性 至 关 重 要 , 必须 要 实时 监控 这 些 服务 器 的 性 能 , 并 且 要 有 安全 可 靠 的 远程 管理 手段 完成 服 
务 器 的 监控 与 配置 。 

传统 的 方式 是 采用 Windows 自 带 的 远程 桌面 连接 功能 ， 这 样 做 虽然 可 以 直观 地 操作 远程 服务 
器 , 但 是 安全 性 较 弱 ,任何 主机 只 要 知道 地 址 和 账户 都 可 以 连接 , 并 且 这 样 只 能 做 到 对 远程 服务 器 
的 控制 ， 却 不 能 实时 获取 远程 服务 器 的 性 能 信息 ， 需 要 另 找 程序 监测 性 能 。 

除了 传统 方式 外 ， 还 可 以 采用 SSH、VNC 和 其 他 专业 远程 服务 器 管理 工具 ， 这 些 方法 一 般 都 
带 有 较为 严格 的 认证 加 密 手 段 ， 部 分 方法 除了 指定 的 管理 服务 器 外 , 其 他 主机 很 难 对 服务 器 进行 管 
理 控制 。 可 按照 图 3-5 实施 服务 器 远程 控制 。 


安装 远程 服务 器 监控 客户 端 程序 
某 公司 网 络 工程 图 例 tp Wa 拉客 户 端 各 


安装 远程 监控 服务 器 程序 = IDC 机 房 托 管 服务 器 


> 
4 Internet ) 
网 络 管理 服务 器 一 


对 于 IDC 机 房 的 托管 服务 器 ， 在 实施 远程 管理 时 可 能 会 产生 特殊 的 管理 数据 流 ， 这 
些 流量 需要 被 出 口 的 防火 墙 设备 转发 ， 应 注意 防火 墙 的 访问 控制 策略 。 


消 
Bl 
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3.3.5 “加强 员 工 网 络 安全 管理 意识 


在 企业 网 络 中 ， 管 理 员 做 的 最 多 的 工作 是 为 普通 用 户 做 机 器 维护 。 由 于 普通 员工 的 计算 机 使 
用 水 平 不 一 样 , 很 多 用 户 不 能 合理 的 使 用 计算 机 , 一 旦 遇 到 计算 机 故障 就 不 知 该 如 何 处 理 。 所 以 作 
为 管理 员 ， 一 定 要 具有 较 高 的 单机 故障 维护 能 力 ， 多 准备 一 些 故 障 维护 盘 。 

造成 网 络 中 单机 维护 工作 过 多 的 原因 除了 员工 操作 水 平 不 高 外 ， 和 单机 的 安全 防护 能 力 弱 也 
有 直接 关系 。 很 多 员工 在 使 用 计算 机 时 不 注意 个 人 主机 的 安全 , 没 杀毒 软件 , 没 漏洞 检测 软件 ,“ 裸 
机 ”上 阵 的 很 多 , 这些 机 器 极 易 感 染病 毒 木马 ， 一 旦 被 网 络 攻击 者 利用 ,很 有 可 能 成 为 威胁 整个 网 
络 的 隐患 。 所 以 在 实施 网 络 管理 改造 中 ， 可 以 适当 的 对 员工 进行 计算 机 基础 应 用 培训 ， 让 员工 安全 
的 使 用 计算 机 ， 并 掌握 独立 解决 小 故障 的 能 力 。 


3.3.6 故障 检测 与 分 析 


在 网 络 管理 中 ， 经 常 出 现 网 速 慢 、 地 址 冲突 频繁 、 出 现 大 范围 网 络 攻击 等 现象 ， 这 些 故障 一 
般 都 不 是 硬件 造成 的 ， 想 要 找到 故障 原因 ， 难 度 很 大 ， 目 前 最 有 效 的 方法 就 是 通过 分 析 网 络 数据 流 
查找 异常 信息 流 。 

当 机 器 感染 了 ARP 病毒 后 ， 会 迅速 向 全 网 发 送 地 址 欺骗 信息 ， 通 过 网 络 流量 监测 分 析 工 具 可 
以 清晰 地 看 出 是 哪 台 主机 在 发 送 大量 的 ARP 信息 ， 结 合 之 前 统计 的 网 络 基本 信息 可 以 很 快 找到 感 
染病 毒 的 主机 用 户 ， 让 其 进行 病毒 的 查 杀 。 

如 果 网 速 变 的 很 慢 ， 也 可 以 通过 流量 监测 分 析 工具 对 全 网 进行 流量 分 析 ， 找 出 比较 占用 带宽 
的 数据 流 。 通 过 查看 单位 时 间 内 哪 台 主机 接收 数据 包 最 多 ， 就 可 以 判断 出 带宽 严重 浪费 的 原因 。 

每 种 网 络 故障 都 有 独特 的 网 络 异 常 流量 ， 这 里 不 再 做 过 多 的 介绍 。 这 里 有 另外 一 个 问题 需要 
考虑 , 网 络 环境 中 的 流量 这 么 多 , 想 要 实现 流量 监测 就 必须 让 所 有 流量 通过 网 络 流量 性 能 监控 服务 
器 , 广播 流量 还 好 说 ,但 是 如 何 确保 跨 网 段 流量 和 单 播 流量 都 流 经 流量 性 能 监控 服务 器 呢 ? 这 需要 
在 所 有 网 络 设备 上 做 一 项 技术 配置 : 镜像 端口 。 通 过 镜像 端口 技术 ， 可 以 把 交换 机 多 个 端口 的 流量 
分 别 做 一 份 数据 镜像 转发 到 镜像 端口 ， 所 有 的 镜像 端口 都 向 着 网 络 流量 性 能 监控 服务 器 方向 配置 ， 
就 可 以 实现 全 网 流量 监控 。 

根据 设计 可 以 做 出 如 图 3-6 所 示 的 调整 。 
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图 3-6 


3.4 专家 答疑 


(1) 按照 本 章节 网 络 管理 方案 实施 ， 是 否 可 以 达到 较 高 的 网 络 管理 质量 ? 

答 : 各 种 网 络 管理 工具 的 实施 都 不 是 促成 高 效 网 络 管理 体系 的 重点 ， 工 具 只 是 网 络 管理 体系 
中 的 辅助 工具 ， 关 键 还 是 要 依靠 网 络 管理 员 自 身 的 素质 。 

如 果 拥 有 高 端的 网 络 管理 工具 ， 而 网 络 管理 员 却 不 懂得 如 何 使 用 ， 不 主动 的 进行 网 络 性 能 
析 ， 故 障 扫描 ， 不 能 及 时 有 效 的 解决 网 络 故障 ， 那 所 有 的 网 络 管理 投入 就 没有 意义 了 。 

网 络 管理 是 很 细致 、 很 繁琐 的 工作 ， 需 要 网 络 管理 员 实 时 的 关注 网 络 状态 、 网 络 性 能 ， 时 刻 
为 网 络 运行 状况 着 想 。 有 了 管理 员 认 真 、 踏 实 的 工作 ,加 上 高 效 的 网 络 管理 工具 ， 才 能 达到 网 络 管 
理 质量 的 最 大 化 。 

(2) 网 络 信息 这 么 多 ， 如 何 从 这 些 信息 中 找到 有 用 的 管理 信息 ? 

答 : 网 络 管理 信息 的 收集 要 和 网 络 管理 的 最 终 目 标 相 结合 ， 网 络 管理 的 目的 就 是 为 了 掌握 网 
络 环境 状况 ， 获 知 网 络 性 能 ， 找 出 网 络 故障 隐患 ， 使 网 络 更 稳定 、 更 高 效 的 运作 。 

除了 获取 网 络 系统 配置 信息 外 ， 网 络 性 能 信息 也 很 重要 ， 可 以 依靠 专门 网 络 管理 工具 获得 。 
但 是 很 多 网 络 隐患 是 不 能 直接 从 性 能 和 系统 配置 上 看 到 的 ， 比 如 ARP 攻击 ， 广 播 风 暴 。 这 些 需 要 
网 络 管理 员 利 用 专业 的 流量 监测 分 析 工 具 进 行 操作 。 

流量 监测 分 析 工 具 可 以 抓获 网 络 中 的 所 有 信息 ， 但 是 真正 能 够 构成 网 络 威胁 的 可 能 只 有 不 到 
一 成 ,如 何在 大 量 的 网 络 信息 流 中 找 出 有 用 的 流量 呢 ? 这 就 需要 管理 员 了 解 所 有 网 络 流量 异常 的 特 
征 ， Panini i ee ap 那 就 很 有 可 能 发 生 了 广播 风暴 ， 又 比如 
在 流量 中 发 现 了 大 量 数 据 包 ， 大 小 一 样 且 小 于 64 字 节 ， 可 能 是 遭 到 了 拒绝 服务 式 攻击 。 网 络 管理 
信息 很 多 ， 作 为 网 络 管理 员 ， 一 定 要 有 耐心 。 


第 4 章 获取 网 络 基本 信息 


伴随 计算 机 网 络 的 普及 和 计算 机 应 用 技术 的 发 展 ， 企 业 网 络 设备 的 数量 与 种 类 越 来 越 多 ， 网 
络 结 构 也 变 得 越 来 越 复杂 。 作为 网 络 管理 员 ， 想 要 高 效 的 完成 网 络 管理 任务 ,首先 要 了 解 当 前 的 网 
络 结 构 ， 获 取 基 本 网 络 信 息 ， 比 如 网 络 规模 、 主 机 分 布 、IP/MAC/ 主 机 名 /用 户 对 应 关系 、 设 备 数量 
及 分 布 、 设 备 型 号 及 配置 、 主 机 及 服务 器 (硬件 ) 配置 等 信息 。 如 果 网 络 出 现 问题 ， 就 可 以 根据 事 
先 掌握 的 信息 快速 的 找到 故障 点 ， 并 加 以 解决 。 


4.1 网 络 基本 信息 概述 


随 着 企业 信息 化 的 发 展 ， 网 络 的 规模 越 来 越 大 ， 网 络 中 的 主机 数量 越 来 越 多 ， 网 络 维护 越 来 
越 难 ， 网 络 故障 解决 的 时 间 越 来 越 长 ， 已 经 影响 到 了 企业 的 办 公 效 率 。 做 为 网 络 管理 员 ， 首 先 需要 
做 的 就 是 掌握 整个 企业 网 络 的 规模 和 设备 分 布 , 其 次 是 网 络 中 的 服务 器 信息 和 主机 信息 , 包括 计算 
机 的 卫 地址 、MAC 地 址 、 用 户 ， 计 算 机 硬件 配置 等 信息 ， 这 些 信息 可 以 帮助 网 络 管理 员 快速 定位 
到 主机 或 者 设备 的 物理 位 置 ， 从 而 加 快 解决 故障 的 速度 。 因 此 ， 经 常 把 网 络 拓扑 图 、 网 络 中 设备 或 
者 主机 的 分 布 图 、 主 机 的 IPIMAC/ 用 户 对 应 关系 ， 设 备 硬件 配置 等 信息 称 之 为 网 络 基本 信息 。 

网 络 拓扑 图 和 网 络 设备 分 布 图 可 以 通过 实地 调查 获得 ， 但 是 对 于 网 络 中 主机 的 IP/MAC/ 用 户 
对 应 关系 就 不 是 那么 容易 能 够 获取 到 的 ， 特 别 是 网 络 中 存在 DHCP 服务 器 时 ， 客 户 端 每 次 获取 的 
IP 地 址 是 不 同 的 ， 要 准确 地 获取 每 个 计算 机 或 者 设备 节点 的 基本 信息 更 是 难 上 加 难 ， 更 别 说 快速 
的 找到 某 台 计算 机 了 ， 这 时 候 就 需要 事先 制作 IP/MAC/ 用 户 映射 关系 表 ， 当 网 络 出 现 问 题 的 时 候 ， 
可 以 通过 数据 包 分 析 ， 通 过 IP/MAC/ 用 户 映射 关系 表 找 到 具体 故障 主机 或 者 设备 的 物理 位 置 。 

MAC 地 址 又 叫 硬件 地 址 ， 在 OSI 七 层 模型 中 位 于 第 二 层 数据 链 路 层 ， 用 来 定义 网 络 设备 的 物 
理 位 置 。MAC 地 址 是 烧 入 在 设备 芯片 上 的 一 个 48 位 二 进 制 数字 ， 由 IEEE 协会 统一 分 配 ， 在 网 卡 
出 三 的 时 候 具 有 全 球 唯一 性 , 在 实际 使 用 的 过 程 中 至 少 需要 的 在 局 域 网 中 的 唯一 性 ,因此 要 定位 网 
络 中 设备 的 唯一 性 ， 借 助 于 MAC 地址 就 很 方便 。 但 是 MAC 地 址 是 48 位 二 进 制 数 ， 不 容易 记忆 ， 
这 时 候 就 产生 了 在 网 络 层 寻 址 的 人 P 地 址 。 

卫 地 址 又 叫 逻 辑 地 址 ， 在 OSI 七 层 模型 中 位 于 第 三 层 网 络 层 ， 用 来 进行 网 卡 等 网 络 设备 的 第 
三 层 寻 址 ， 是 主机 在 互联 网 中 的 唯一 标识 。IP 地 址 是 由 32 位 二 进 制 数字 组 成 的 ， 由 国际 组 织 NIC 
统一 分 配 ， 计 算 机 在 使 用 互联 网 的 过 程 中 必须 获取 全 球 唯一 的 P 地 址 。 在 网 络 通信 过 程 中 ， 相 邻 
节点 间 通 信 需 要 用 到 MAC 地 址 ， 而 不 同 网 络 间 通 信和 就 要 用 到 IP 地 址 ， 因 此 人 P 地 址 和 MAC 地 址 
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在 计算 机 通信 过 程 中 起 着 非常 重要 的 作用 。 但 是 不 管 是 瑟 地 址 还 是 MAC 地 址 ， 都 是 二 进 制 数字 ， 
枯燥 而 不 容易 记忆 , 因此 人 们 给 每 台 计 算 机 设置 了 通俗 易 记 的 计算 机 名 称 ,当然 计算 机 名 称 只 在 本 
地 有 意义 。 

局 域 网 经 常 出 现 ARP 攻击 问题 ， 当 源 主机 在 请 求 ARP 解析 的 时 候 ，ARP 病毒 伪装 目的 主机 
的 MAC 地址 返回 给 源 主机 ， 这 时 候 源 主机 就 会 对 接收 到 的 错误 目标 MAC 地 址 进行 访问 ， 使 得 网 
络 内 部 出 现 大 量 的 广播 流量 影响 网 络 效率 , 对 于 这 种 问题 的 解决 就 需要 用 到 网 络 基本 信息 。 首先 对 
网 络 数据 包 进 行 分 析 ， 查 询 哪些 主机 发 送 大 量 的 ARP 包 , 这 些 主机 可 能 就 感染 了 ARP 病毒 ， 通过 
这 些 数 据 包 的 源 MAC 找到 该 计算 机 的 使 用 用 户 ， 从 而 解决 问题 。 


4.2 获取 网 络 基本 信息 


网 络 管理 员 在 进行 网 络 管理 之 前 ， 首 先 应 该 想 办 法 获取 网 络 中 所 有 设备 的 基本 信息 ， 避 免 在 
网 络 出 现 故 障 的 时 候 ,因为 难以 定位 故障 节点 而 影响 网 络 的 修复 。 常 见 的 获取 网 络 基本 信息 方法 有 
两 种 : 工具 扫描 和 走访 调查 。 


4.2.1 工具 扫描 


面 对 大 量 的 客户 端 ， 工 具 扫 描 是 个 不 错 的 方法 。 工 具 扫描 是 指 在 局 域 网 中 任意 一 台 计 算 机 上 
安装 扫描 工具 ， 然 后 扫描 局 域 网 所 有 正在 运行 的 计算 机 以 获取 网 络 基 本 信息 。 
如 图 4-1 所 示 是 用 MAC 地 址 扫描 器 扫描 局 域 网 中 计算 机 基本 信息 的 效果 。 


I 范 围 命令 


192 168.1.1 至 [192.168.1.255 开始 帮助 | 
过 项 [LE | (Em | 
间 本 机 本 所 在 地 址 段 扫 绍 。 口 荐 入 后 注 | 
〇 自 定义 地 址 自 扫 入。 延 时 时 间 [100 [55 4 关于 
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00147841064C SFC-200809251417 
‘O0016CIE1C08 CFC-201007081735 
O0016C1E1COE 
(OOOAEBABTE43 。。 PC2003010100MXT 
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4.2.2 ”走访 调查 
面 对 大 量 的 客户 端 ， 工 具 扫 描 可 以 统计 出 全 部 正在 运行 的 计算 机 或 者 网 络 设备 的 网 络 基本 信 
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息 , 但 是 每 个 计算 机 或 者 网 络 设备 的 物理 位 置 等 信息 是 无 法 统计 到 的 , 这 些 还 必须 依靠 人 工 走 访 调 
查 来 进行 统计 ， 以 完善 网 络 基本 信息 


4.3 1IP/MAC 地 址 查看 工具 


可 以 使 用 的 IP/MAC 地 址 查看 方法 很 多 ， 下 面 介绍 几 种 常用 的 命令 及 工具 。 
4.3.1 Windows 系统 内 置 工具 一 一 ipconfig 

ipconfig 是 内 置 在 Windows 的 TCP/IP 应 用 程序 ， 用 于 查看 计算 机 本 地 网 络 适配器 的 计算 机 名 
称 、IP 地 址 和 MAC 地 址 等 TCP/IP 信息 ，ipconfig 主要 用 于 手工 检查 计算 机 的 IP 地 址 配置 。 另 外 
在 DHCP 服务 器 存在 的 网 络 中 ，ipconfig 命令 还 可 以 用 于 释放 和 获取 IP 地 址 信息 。 

1. 查看 本 机 的 IP 地 址 信息 

使 用 ipconfig 命令 查看 PP 地 址 信息 的 具体 操作 步骤 如 下 

0 人 单 击 【 开 始 ] 关 【 运 行 】 莱 单 命令 ,弹出 【和 运行】 对 话 框 ， 在 【打开 ]】 文 本 框 中 输入 “cmd” 
命令 ， 单 击 【确定 〗 按 钮 ， 如 图 4-2 所 示 。 

| 


WN. BE ee as 


打开 @): [cng 司 


Cw | ws | ww. 
图 4-2 
02j 弹出 命令 提示 符 窗口 ,在 其 中 输入 “ipconfig” 命令 , 按 【Enter] 键 确认 ,显示 出 “Windows 
IP Configuretion” 信 息 ， 包 括 IP Address (IP 地 址 ) 、Subnet Mask ( 子 网 掩 码 ) 和 Default Gateway 
(默认 网 关 ) 等 ， 如 图 4-3 所 示 


图 4-3 


2. 查看 本 机 的 MAC 地 址 


在 命令 提示 符 窗口 中 , 输入 “ipconfig /all” 命 令 , 按 【Enter] 键 确认 ， 显 示 出 “Ethernet adapter 
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本 地 连接 ”信息 ， 包 括 Description (描述 )、Physical Address〈 物 理 地 址 )、DHCP Enabled (DHCP 
服务 器 是 否 开启 )、IP Address (IP 地 址 )、Subnet Mask 〈 子 网 掩 码 )、Default Gateway (默认 网 关 ) 
等 ， 如 图 4-4 所 示 。 


图 4-4 
3. 释放 本 机 的 IP 地 址 


在 命令 提示 符 窗口 中 ， 输 入 “ipconfig /release ”命令 ， 按 【Enter】 刍 确认， 会 看 到 本 机 的 人 P 
地 址 被 释放 掉 ， 如 图 4-5 所 示 。 


4. 从 DHCP 服务 器 上 重新 获取 IP 地 址 


在 命令 提示 符 窗口 中 ， 输 入 “ipconfig /renew” 命 令 ， 按 【Enter】 键 确认。 会 看 到 本 机 重新 获 
得 新 的 也 地址 ， 如 图 4-6 所 示 。 


CATIIOWNSY 


图 4-6 
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4.3.2 ”IP 地 址 管理 工具 一 一 IPMaster 


IP 地 址 管理 工具 是 提供 对 IP 地 址 使 用 以 及 人 P 地 址 划分 的 工具 软件 , 它 除 了 可 以 提供 可 视 化 的 
卫 地 址 分 配 功能 外 ， 还 可 以 对 网 络 进行 简单 的 管理 ， 比 如 Ping、TracertRoute、Telnet 等 功能 。 使 
用 人 P 地 址 管理 工具 可 以 大 大 提高 网 络 管理 人 员 的 工作 效率 ， 该 软件 最 主要 是 为 了 有 序 和 高 效 的 实 
现 大 中 小 型 企业 网 卫 地 址 的 分 配 和 管理 。 

IPMaster 是 共享 软件 , 用 户 可 以 通过 各 种 渠道 免费 得 到 它 的 拷贝 , 也 可 以 在 不 修改 软件 的 前 提 
下 自由 传播 它 。 本 软件 为 绿色 软件 ， 无 需 安装 ， 直 接 运行 可 执行 程序 即 可 ， 试 用 版 的 有 效 期 为 2 
个 月 ， 因 此 在 实验 环境 下 可 以 选用 试用 版 ， 如 果 要 长 期 使 用 ， 可 以 进行 购买 注册 。 下 面 介绍 使 用 
IPMaster 对 IP 地 址 进行 管理 的 操作 方法 。 

1. 新 建 管理 网 段 

使 用 IPMaster 工具 ， 首 先 要 制定 管理 网 段 ， 新 建 管理 网 段 的 具体 操作 步骤 如 下 。 


ti 启动 了 Master 软件 ， 弹 出 【登陆 】〗 对 话 框 ， 在 【请 输入 登录 密码 】 文 本 框 输入 IPMaster 
登陆 密码 ， 初 次 登录 默认 为 空 密码 ， 单 击 【 确 定 】〗 按 钮 ， 如 图 4-7 所 示 。 


图 4-7 
to3 弹出 IPMaster 主 界面 窗口 ， 选 择 【 文 件 〗>【 新 建 管理 网 段 】 菜 单 命令 ， 如 图 4-8 所 示 。 
Ec [aio 


TT 


图 4-8 


03) 弹出 【新 建 管理 网 段 】 对 话 框 ， 在 【网 段 名 称 】 文 本 框 中 输入 自 定义 的 需要 管理 网 段 名 
称 ， 在 【网 段 地址 】 文 本 框 输入 要 管理 的 网 段 ，【 网 络 掩 码 】〗 文 本 框 输入 要 管理 网 段 的 网 络 掩 码 ， 
单 击 【 确 定 】 按 钮 ， 如 图 4-9 所 示 。 
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到 


图 4-9 
4 系统 会 在 树 形 拓扑 图 的 【IPMaster-Root]】 节 点 下 新 建 一 个 网 段 ， 就 是 需要 管理 的 网 段 ， 
如 图 4-10 所 示 。 


EEC 


| 环 回 学 学 学 季 学 国信 


> 到 
显示 的 新 加 网 段 CE EEC 


2. 子 网 划分 

随 着 网 络 规模 的 扩大 ， 网 络 中 P 地 址 越 来 越 紧张 ， 同 时 大 的 网 络 也 会 带 来 广播 的 急剧 增加 。 
为 了 解决 这 些 问题 ， 可 以 根据 网 络 中 主机 数量 的 多 少 ， 对 人 P 地 址 进行 子 网 划分 。IPMaster 对 子 网 
划分 有 两 种 ， 手 工 划分 和 自动 划分 。 子 网 划分 的 具体 操作 步骤 如 下 。 


i9 角 右 击 建立 好 的 管理 网 段 ， 在 弹出 的 快捷 菜单 中 选择 【划分 】 选 项 ， 如 图 4-11 所 示 。 


图 4-11 
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t02 弹出 【划分 子 网 】 对 话 框 ， 通 过 该 对 话 框 可 以 选择 子 网 划分 的 方式 ， 选 择 【 自动 划分 】 
单 选 按钮 ， 单 击 【 下 一 步 】 按 钮 ， 如 图 4-12 所 示 。 
[27 > 


在 网 段 192,168.2.0/24 下 进行 子 网 划分 ,当前 网 段 下 ,最 大 可 
0 
256: 


图 4-12 


03j 弹出 【自动 划分 】 对 话 框 ， 在 【划分 的 子 网 数量 〗 和 【 子 网 中 的 主机 数 】 文 本 框 中 分 别 
输入 要 划分 的 子 网 数量 和 每 个 子 网 中 的 主机 数 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 4-13 所 示 。 
EE > 
划分 的 子 网 数量 : E | 
子 网 划分 
了 网 PM 蚊 F 


人 个子 网 扶 码 : 0 0 0 0 
掩 码 位 数 : 0 位 


| 取消 | 


图 4-13 


I0 弛 弹出 【确认 】〗 对 话 框 ， 核 查 划 分 的 子 网 是 否 满足 需求 ， 单 击 【 类 型 】〗 下 面 的 【已 分 配 】 
下 拉 菜 单 ， 可 以 将 子 网 状态 修改 为 【已 分 配 】、【 可 再 分 】 和 【保留 〗】 三 种 状态 ， 单 击 【确定 】 按 
钮 ， 如 图 4-14 所 示 。 


192. 168.2.0/29 


192. 168.2.8/29 


192. 168.2. 16/29 


192. 168.2.24/29 


192. 168.2. 32/29 


图 4-14 


四 5) 子 网 划分 成 功 ， 返 回 【IPMaster】 窗 口 ， 如 果 要 对 某 个 子 网 进行 扫描 管理 ， 检 查 IP 地 址 
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使 用 情况 ， 可 以 右 击 要 扫描 的 网 段 ， 在 弹出 的 快捷 莱 单 中 选择 【扫描 〗 命 令 ， 如 图 4-15 所 示 。 


TT 
Em mm ED NED TAT NO 


led = WAC MA Ed 


图 4-15 


to6j 扫描 成 功 ， 返 回 【IPMaster】 窗 口 ， 看 到 该 子 网 IP 地 址 分 配 情况 ， 包 括 网 络 中 计算 机 的 
IP 地 址 、 主 机 名 、MAC 地 址 等 网 络 基本 信息 ， 如 图 4-16 所 示 。 


ee 
| 得 忆 回 和 他 学 学 各 学 国光 


四 
El 


网 络 中 已 经 存 
在 的 计算 机 基 
本 信息 


图 4-16 
3. 监控 与 管理 网 络 中 客户 端 


IPMaster 除了 管理 网 络 中 人 P 地 址 分 配 情况 和 扫描 基本 网 络 信息 外 ， 还 可 以 测试 客户 端的 网 络 
连通 性 ， 有 具体 的 操作 步骤 如 下 。 
和 选中 想 要 监控 的 计算 机 的 【监控 〗 选 项 ， 如 图 4-17 所 示 。 
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图 4-17 


2 在 莱 单 栏 中 选择 【工具 】>【 监 控 】 莱 单 命令 ， 弹 出 【监控 】〗 对 话 框 ， 在 【监控 间隔 】 
文本 框 中 输入 监控 间隔 时 间 ， 单 击 【 确 定 】〗 按 钮 ， 如 图 4-18 所 示 。 
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图 4-18 


4. 网 络 连通 性 测试 
当 网 络 出 现 异 常 时 ， 可 以 利用 IPMaster 软件 的 连通 性 测试 工具 ， 具 体操 作 步 又 如 下 。 
tOJ 右 击 要 测试 的 主机 IP， 弹 出 各 种 网 路 连通 性 测试 命令 ， 如 图 4-19 所 示 。 
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| 
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Er 


可 用 的 网 络 测试 命令 功能 介绍 如 下 。 

(1)【ping】: 测试 网 络 连 通 性 。 

(2)【traceroute】: 路 由 跟踪 命令 ,测试 源 地 址 达到 目的 地 址 经 过 的 路 由 节点 。 
(3)【telnet】: 远程 登录 命令 ， 后 跟 目的 IP 地 址 。 

(4) 【net send】: 发 送信 息 ， 需 要 对 方 开启 message 消息 服务 。 


W023 选择 【ping] 菜单 命 令 , 在 【IPMaster】 对 话 框 下 面 可 以 看 到 网 络 连 通 性 测试 结果 ， 如 图 
4-20 所 示 。 
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图 4-20 


4.3.3 局域网 监控 专家 一 一 LanSee 


局 域 网 查看 工具 〈LanSee) 是 一 款 对 局 域 网 上 的 计算 机 信息 进行 查看 的 工具 ，LanSee 可 以 对 
局 域 网 中 的 计算 机 进行 扫描 ， 获 取 计 算 机 的 中 地址 、MAC 地 址 、 计 算 机 名 和 所 在 工作 组 等 基本 网 


络 信息 ， 然 后 选择 特定 的 计算 机 还 可 以 查看 其 共享 资源 ， 同 时 LanSee 还 集成 了 网 络 嗅 探 功能 ， 可 


以 捕获 各 种 数据 包 ， 包 括 tcp、udp、icmp 和 arp 等 。LanSee 做 为 一 款 优秀 的 局 域 网 监管 软件 ， 越 
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来 越 受到 广大 网 络 管理 人 员 的 喜爱 ，LanSee 扫描 计算 机 和 使 用 共享 资源 的 具体 方法 如 下 。 

使 用 LanSee 局 域 网 监控 软件 扫描 网 络 计算 机 的 具体 操作 步骤 如 下 。 

和 打开 LanSee 局域网 监控 软件 ， 在 莱 单 栏 中 选择 【设置 〗>【 工 具 选 项 】 菜 单 命令 , 如 图 
4-21 所 示 。 


单 击 搜索 计 
算 机 


| 0 RN 
图 4-21 
2 弹出 【选项 〗 对 话 框 ， 在 左 侧 选项 列表 中 选择 【搜索 计算 机 】〗 选 项 ， 单 击 【 清 空 】 按 钮 ， 
可 以 清空 默认 的 卫 范围 ， 如 图 4-22 所 示 。 


图 4-22 


to3j 单 击 【 添 加 】 按 钮 ， 在 右 侧 【起 始 亿 段 】 和 【结束 IP‘ 段 】 文 本 框 中 设置 要 扫描 的 人 P 范 
围 ， 单 击 【 保 存 】 按 钮 ， 如 图 4-23 所 示 。 
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设置 扫描 的 人 P 范围 
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图 4-23 


6 弛 返回 局 域 网 查看 工具 (LanSee ) 程序 主 界面 ， 在 左 侧 选 项 列表 中 单 击 【 搜 索 工具 】 选 项 ， 
在 右 侧 窗 格 中 单 击 【 开 始 】 按 钮 开始 扫描 局 域 网 中 计算 机 的 网 络 基本 信息 和 共享 资源 信息 ， 如 图 


4-24 所 示 。 
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贡生 模 程 到 =32, 等 符 任 务 娄 =131 。。 册 前 窗口 ; 扫 索 计算 机 hovin-1f00s4ed, Ey 


图 4-24 


tog 扫描 结束 ， 如 图 4-25 所 示 可 以 看 到 扫描 信息 ， 包 括 局 域 网 计算 机 的 IP 地址 、 计 算 机 名 、 


工作 组 、MAC 地 址 和 共享 资源 等 信息 。 
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局 域 网 中 的 共享 信息 


当前 家 品 ; 搜索 计算 机。 |[ 太 机 名 科 ; bovin-1560eeds 本 机 到 


图 4-25 
4.3.4 ”超级 扫描 工具 一 一 SuperScan 
对 于 网 络 管理 员 来 说 ， 一 个 功能 强大 的 扫描 工具 非常 重要 ， 在 系统 被 攻击 之 前 扫描 出 网 络 的 


漏洞 ， 是 网 络 管理 必 备 的 步骤 之 一 。 超 级 扫描 工具 SuperScan 是 个 功能 强大 的 计算 机 扫描 软件 , 通 
过 SuperScan 扫描 工具 ， 除 了 可 以 获取 网 络 中 主机 的 网 络 基本 信息 外 ,还 可 以 对 目标 主机 开放 的 端 
口 和 服务 进行 扫描 ， 是 网 络 网 管 员 不 可 缺少 的 网 络 工具 。SuperScan 的 具体 使 用 步骤 如 下 。 

to 和 打开 SuperScan 工具 ， 首 先 设 置 要 扫描 的 IP 地 址 范围 。 在 【Hostname/IP〗 (主机 名 /IP 
地 址 ) 文本 框 中 输入 本 机 的 全 地 址 ， 在 【Start IP】〗 (起 始 卫 地 址 ) 文本 框 中 输入 要 扫描 IP 地 址 
范围 的 起 始 地 址 ， 在 【End IP〗 (结束 IP 地 址 ) 文本 框 中 输入 要 扫描 也 地 址 范围 的 结束 地 址 ， 单 
击 【 > |] 按钮 将 设置 的 IP 范围 加 入 扫描 范围 ， 单 击 左下 方 【加 中 ] 按钮 ， 开 始 扫描 ， 如 图 4-26 
所 示 。 


IP 地 址 范围 
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图 4-26 


2 SuperScan 扫描 工具 正在 自动 扫描 ， 并 显示 扫描 进度 ， 如 图 4-27 所 示 。 
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i@3j SuperScan 扫描 完成 ， 并 显示 扫描 结果 ， 如 图 4-28 所 示 。 
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图 4-28 
LO 级 单 击 【View HTML Results】( 查看 html 结果 ) 按钮 生成 html 格式 的 扫描 报 
所 示 。 


告 , 如 图 4-29 


中 小 型 企业 网 络 管 理 实战 富 典 基于 Windows 平台 


图 4-29 


4.4 项 目 实施 1: 生成 基本 信息 库 


MAC 扫描 器 是 一 款 绿色 共享 软件 ， 主 要 功能 是 扫描 网 络 中 计算 机 等 设备 的 了 P 地 址 、MAC 地 
址 、 计 算 机 名 称 和 工作 组 名 称 等 信息 , 该 软件 可 以 帮助 管理 员 快速 的 搜集 网 络 基本 信息 。 使 用 MAC 


扫描 器 建立 基本 信息 库 的 具体 操作 步骤 如 下 。 


0 和 打开 MAC 扫描 器 ,在 【IP 范围】 文本 框 中 输入 要 扫描 的 IP 地 址 范围 ， 本 案例 扫描 的 卫 


范围 是 192.168.1.1 至 192.168.1.255， 单 击 【 开 始 】〗 按 钮 ， 如 图 4-30 所 示 。 
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4-30 


iQ3 MAC 扫描 器 自动 扫描 ， 并 显示 扫描 进度 及 结果 ， 扫 描 结束 后 单 击 【保存 】 按 钮 ， 


4-31 所 示 。 


如 图 
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图 4-31 


3 弹出 【保存 】 对 话 框 , 在 【文件 名 】 文 本 框 中 输入 文件 名 “ipmac”, 保存 文件 类 型 为 “txt”， 
单 击 【 保 存 】 按 钮 ， 如 图 4-32 所 示 。 


[TI 
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图 4-32 
0 弛 打开 “ipmac.txt” 文 件 ， 可 以 看 到 搜集 到 的 人 P 地 址 、MAC 地 址 、 计 算 机 名 和 工作 组 名 


称 等 网 络 基本 信息 ， 如 图 4-33 所 示 。 
了 6 可 


文件 下 ) 编辑 让) 格式 ) 查看 @) 帮助 0) 


192.168.1.16 QOE G4CAF26FD PC-281123111814 WORKGROUP 
192.168.1.26 BOE 84D 865A 04 SKJA38E97DZNU62 WORKGROUP 
192.168.1.36 B88B7412EQ1E PC-2999 88881444 WORKGROUP 


UG B43 


图 4-33 
tog 网 络 管理 员 需 要 将 每 个 IP 地 址 的 使 用 者 以 及 设备 的 物理 位 置 填 入 该 文件 以 完成 基本 信 
息 库 的 建立 ， 如 图 4-34 所 示 。 
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四 ipese. tzt - 记事 本 
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HA 计算 机 名 称 工作 组 员工 姓名 
QOEGACAF26FD PC-281123111814 WORKGROUP 站 兵 
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BBBB7412EQ1E PC-288968881444 WORKGROUP 


图 4-34 


4.5 项 目 实施 2: 利用 基本 信息 库 防止 ARP 欺骗 


局 域 网 建立 完成 后 ， 为 了 防止 ARP 攻击 、ARP 欺骗 等 局 域 网 常见 问题 的 产生 ， 一 般 都 要 求 在 
服务 器 端 对 耳 地 址 和 MAC 地 址 进行 绑 定 ， 这 样 的 话 特 定 的 卫 只 能 在 特定 的 电脑 上 使 用 ， 既 方便 
管理 又 能 保证 局 域 网 的 安全 。 但 是 面 对 众 多 的 客户 端 ， 无 论 是 在 客户 端 进行 PP 地 址 和 MAC 地 址 
绑 定 ， 还 是 在 服务 器 端 通过 网 络 工具 扫描 IP 地 址 和 MAC 地 址 进行 绑 定 ， 对 于 网 络 管理 员 来 说 都 
是 一 个 不 小 的 工作 量 。 利 用 MS Office Excel 和 基本 信息 库 快速 进行 IP/MAC 绑 定 的 具体 操作 步骤 
如 下 。 

0 由 启动 MS Office Excel 2003， 在 菜单 栏 中 选择 【数据 〗 关 【导入 外 部 数据 〗 关 【导入 数据 】 
菜单 命令 ， 选 择 上 文生 成 的 IP/MAC 映射 文本 文件 ， 弹 出 【文本 导入 向 导 】〗 对 话 框 ,选择 【固定 宽 
度 】〗 选 项 ， 单 击 【 完 成 〗 按 钮 ， 如 图 4-35 所 示 。 
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图 4-35 


tO3 弹出 【导入 数据 〗 对 话 框 ， 选 择 【〖 现 有 工作 表 ]】 单 选 按钮 ， 单 击 【确定 】 按 钮 ， 如 图 4-36 
所 示 。 
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图 4-36 
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iD3 如 图 4-37 所 示 ， 可 以 看 到 已 经 将 IP/MAC 映射 文件 的 文件 内 容 导 入 到 Excel 表格 中 。 
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192.168.1.16 ODEO4CdF26FD PC-201103111014 WORKGROUP 
192.158. 1.26 ODEQ4DO65A04 SEJA3UE97TOZNV62 WORKGROUP 
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192.168. 1, 180 00EAD11049A2 TJ MORKGROUP 
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192.168. 1, 200 000C295A3C97 HORIN-1F8OAF4ED WORKSROUP 
192. 168. 1. 203 “6nEB69EFD901 WIN-R370J9FQTIU WORKGROUP | 
192. 168. 1, 212 “00233B949FDD PC2010073110INH WORKGROUF 
192.168. 1, 232 00005A000037 ‘20090514-1242 WORKGROUP 辣 
到 
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图 4-37 


0 弛 如 图 4-38 所 示 ， 将 Excel 文件 中 的 工作 组 名 称 和 计算 机 名 称 删除 掉 ， 此 时 Excel 表格 中 
只 剩 下 耳 地 址 和 MAC 地 址 。 


= 上 回 浊 
到 | 立 们 四。 编 缉 到 视图 预 入 I 格式 m) 工具 吕 六 大 和) 窗口 如 帮助 0p x 
DBaD 0-@ 四 :se =12 ER 正本 洗 江 | 加 | 梁 | 也 9%-A- 四 
D3 总 友 
A 了 可 “| 
192.168.1.16 00E04C4F268D 
192.168.1.26 “00E04D065A04 
|192. 168. 1. 36 000B7412E01E | | | 
192, 168. 1.68 001921B6D400 
192. 168.1.72 OOEAO1104A15 
192.168.1.75 OOEAO1104AD? 
192, 168. 1.80 “|000AE3A85F57 
192. 168.1.97 00147341064C 
192. 168. 1.112 00016C1E1CO8 
192.168.1.123 00016C1E1COE 
192.168.1.135 00OARBdBTE4S 
192. 168. 1.152 OOEAO1104AIF 
192.168.1.172 OOEAO1104AlE 
192, 168. 1.174 000AEB4BBF55 
192.168.1.180 OOEAO11049A2 
192, 168. 1.199 DOE04C4AE612 
192, 168. 1. 200 000C235A3C37 
192, 168, 1.203 “60EB69EFD901 | 
192. 168. 1. 212 “002389343FDD 
1.232 0000SA000037 了 
ER 
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05] 在 Excel 表格 中 A 列 前 插入 一 列 ， 然 后 在 新 插入 的 这 一 列 单元 格 内 输入 绑 定 MAC 地 址 
的 命令 和 参数 “ARP -S”， 如 图 4-39 所 示 。 


中 小 型 企业 网 络 管 理 实 战 室 典 基于 Windows 平台 


全 编 铬 下) 视图 WD) 扳 入 OO 格式 @) 工具 人 ) 数据 Q) 窗口 帮助 0D 


192. 168. 1. 00E04C4F26FD 
IARP -S 192.168.1.26 00E04D065A04 
192.168.1. 000B7412E01E 
001921B6D400 
00EA01104A15 
0OEA01104AC7 
000AEBA86F57 
00147841064C 
00016C1E1C08 
00016C1E1COE 
000AEB4B7E43 
00EA01104A1F 
OOEAO1104AlE 
000AFB4BBF53 
00EA011049A2 
00E04C4AE612 
000C295A3C97 
BE9FFED9nl 


ls 


图 4-39 


to6j 利用 字符 串 函 数 分 割 12 位 MAC 地 址 为 两 两 一 组 ， 操 作 方法 为 : 在 D1 单元 格 输入 
“=]eft(C1,2)”， 在 El 单元 格 输入 “=mid(C1,3,2)”， 在 Fl 单元 格 输入 “=mid(C1,5,2)”， 在 G1 
单元 格 输入 “=mid(C1,7,2)”, 在 HI 单元 格 输入 “=mid(C1,9,2)”, 在 I1 单元 格 输入 “=right(C1,2)”， 
然后 利用 填充 法 将 其 他 单元 格 进行 输入 ， 得 到 如 图 4-40 所 示 结 果 。 
El| 


人 
-la -|BZEI 匡 天 斑竹 | 埋 | 王 .9 A- EB 


C D |E 

00E04C4F26FD 00 ‘EO 

00E040065A04 00 EO 

000B7412E0IF 00 08 

001921B6D400 00 19 

00EA01104A15 ‘00 EA 

00EA01104AC7 ‘00 EA 

000AFEBA86F57 .00 OA 
00147841064C 00 14 本 
00016C1FIC08 00 ol 6C 1E 1C 08 

ol 

OA 

EA 

EA 

OA 

EA 

Eo 

0 

3 


O0016CIEICOE 00 
000AEB4BTE43 00 
(OORAO1104AlF ‘00 
(OORAO1104AlE 00 
000AEB4BBF53 00 
(OOEAO11049A2 00 
00E04C4AE612 ‘00 
000C295A3C97 00 
192.168. 1. 203 60EB69EFD901 60 


Tr rr 


图 4-40 


0 本 在 J1 单元 格 内 把 D1~I1 单元 格 的 内 容 合并 起 来 ， 中 间 用 减 号 分 隔 。 操 作 方法 为 : 在 本 
内 输入 “=D1&"-"&El&"-"&F1&"-"&G1&"-"&H1&"-"&I1”, 然后 使 用 填充 法 依次 填充 丁 列 单元 格 ， 
结果 如 图 4-41 所 示 。 
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XD Wy NEW AU VKV IAD NEV OV Who -ox 
J3H7-.0 ee | 
mr 司 
志 D 可 了 了 

|p -5 加 00 E04 基 PD 00-80- 罗 -和 -8 和 
AP -5 26 % E00 SA 04 00-80-4D-06-5A-04 
np -S192. 168. 136 0 08 74 E01E 00-08-74-12-E0-]E 
Ap -8 192. 168.1.68 0 192 Bs D4 00 00-19-21-86-D4-00 
AP -8 192.168.1 得 00 EA ol 10 4A 15 00-EA-01-10-4A-15 
AP -5 192,168.1,75 ‘00 EA Ol 10 34 CT 00-EA-01-10-4ACT 
AP -S192. 168.1,80 ‘00 0h EB ha 邱 57 00-0N-Ep-A8-6F-ST 
AT -5 条， 001478410 多 的 14 8 机 5 吉 00-14-78-41-06- 
AP -5 192,168,1,112 OHCIEICOS 00 Ol ec IE 1c 08 00-01-4c-lE-1C-08 
Jp 5192. 168.1.123 OICIEICOE 00 Ol 和 1E 1C OF 00-01-6C-1E-1C-€ 
Ap -S192. 168, 1, 135 O00WEB4BTE43 00 OA EB 2 人 E43 00-0A-28-8-TE-43 
AP -5 192,168.1,152 WENIIOAAIF 00 EA Ol 10 4A IF 00-2A-01-10-4A-1P 
AP -8 192. 168, 1.172 OOEAOIIOMNIE 00 EA 0 10 4A IE 00-£A-01-10-4A-IE 
Ai -5 192.168.1.174 OOONEBABBFS3 00 OA EB sp BE 53 00-0A-ED-4p-MF-53 
AP -190,168,1180 00€NOI1O42 00 EA Ol 10 49 A2 00-EA-O1-l0-49-A2 
Ap -8 192.168.1.199 00ED4CdAE612 00 ED 4C dA ES 12 00-80-4C-4A-E6-12 
AP -8 192.188,1,200 O00C2s5A3CYT 00 OC 29 SA 3 37 00-0C-29-6h-3C-9 
AP -5 1203 08B6% TDI01 60 EB 69 Er D3 Ol 60-58-69-E7-09-0l 


Ee 六 世间 
| 


图 4-41 


to8j 将 C 列 至 I 列 所 有 数据 进行 隐藏 。 选中 CC 列 至 I 列 的 所 有 数据 然后 右 击 ， 选择 【隐藏 】 


选项 ， 如 图 4-42 所 示 。 


B 
192. 168.1. 
192. 168. 1. 
192. 168.1. 
192. 168.1. 
192. 168, 1. 
192. 168.1. 
192. 168. 1. 
192. 168.1. 
192. 168.1. 
192. 168. 1. 
192. 168. 1. 
192. 168. 1. 
192. 168.1. 
192. 168.1. 


192. 168. 1 


192. 168.1. 
192. 168. 1 . 


00-E0-4C-47 -26-FD 
00-E0-4D-05-5A-04 
00-0B-74-12-E0-1E 
00-19-21-B5-D4-00 
00-EA-01-10-4A-15 
‘00-EA-01-10-4A-C7 
00-0A-EB-AB-6F-57 
00-14-78-41-06-4C 
00-01-6C-17-1C-08 
00-01-6C-13-1C-OE 
00-0A-EB-438-7E-43 
00-EA-01-10-4A-1F 
00-EA-01-10-4A-1E 
00-0A-EB-48-BF -53 
00-EA-01-10-49-A2 
00-E0-4C-4A-E6-12 
00-0C-29-5A-3C-97 


| 


图 4-42 


09) 选择 【文件 ]】 菜单 中 的 【保存 】 选 项 ， 将 数据 进行 保存 ， 命 名 为 “IP/MAC 映射 表 ” 


如 图 4-43 所 示 。 
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六 直面 丘 /mag 有 天 
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加 0 打开 上 述 步骤 制作 的 “IP/MAC 映射 表 ”， 将 里 面 的 内 容 复 制 在 一 个 文本 文档 中 ， 如 图 
4-44 所 示 。 


可 
文 片 四， 所 得 到) 档 式 中) 查看 YY) 才 助 加 
192- 习 
a 
3 
S92 
9 
9 
192 1 的 -6 让 -人 -如 
2 ee 
a 
1 
9 
82 0 01109-4982 
82 ERC AN -E01 
全 
人 全 < 抽 和 人 
全: 站 
2 
倍 : 
| 
| ™ 
图 4-44 
1 选择 【文件 〗 菜 单 中 的 【另存 为 〗 选 项 ， 弹 出 【另存 为 〗 对 话 框 ， 将 文本 文档 保存 为 


“ipmac.bat”， 如 图 4-45 所 示 。 


BE 


图 4-45 


12j 在 服务 器 上 直接 运行 这 个 批 处 理 文件 ， 可 以 进行 地 址 和 MAC 地 址 的 绑 定 ， 如 图 4-46 


x 


[Evo rt 


00-EA-@L 


88_EN-B1 


图 4-46 
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4.6 专家 答疑 


(1) 在 使 用 IPMaster、LanSee 等 工具 的 时 候 ， 操 作 步 又 是 正确 的 ， 为 什么 却 扫描 不 到 信息 ? 

答 : 可 以 从 两 个 方面 考虑 出 现 这 一 现象 的 原因 。 其 一 ， 扫 描 工 具 所 在 的 计算 机 网 络 连接 是 否 
正常 ， 可 以 通过 网 络 测试 工具 ， 测 试 网 络 连接 状态 ， 其 二 ， 是 否 安装 了 Winpcap 驱动 包 ， 该 驱动 
包 主 要 是 为 Windows 应 用 程序 提供 访问 网 络 底层 的 能 力 ， 大 部 分 的 网 络 管理 工具 都 需要 用 到 该 驱 
动 包 。 

(2) 我 已 经 在 服务 器 上 做 了 IP/MAC 地 址 绑 定 ， 可 网 络 中 还 存在 ARP 攻击 ? 如 何 解决 ? 

答 : 从 理论 上 说 在 出 口服 务 器 上 进行 IP/MAC 绑 定 ， 可 以 更 好 的 对 局 域 网 进行 管理 ， 有 效 地 
防止 卫 欺骗 和 ARP 欺骗 等 问题 ， 但 是 对 于 局 域 网 内 部 的 此 类 问题 还 需要 在 每 个 计算 机 上 进行 
IP/MAC 绑 定 ， 当 然 没 有 一 种 办 法 是 万 能 的 ， 对 于 局 域 网 内 部 的 问题 还 需要 计算 机 使 用 者 的 配合 ， 
避免 在 局 域 网 中 使 用 p2p 攻击 软件 ， 及 时 升级 杀毒 软件 ， 防 止 计算 机 中 毒 。 


第 5 章 搭建 网 络 管理 平台 


随 着 各 公司 企业 网 络 环境 的 不 断 完 善 ， 网 络 规模 也 在 逐步 扩大 ， 面 对 越 来 越 多 的 网 络 设备 ， 
越 来 越 复杂 的 网 络 拓扑 结构 ,传统 的 管理 方式 已 经 显得 有 些 策 拙 ， 如 何 更 有 效 、 更 直观 地 实施 网 络 
管理 ， 成 为 了 不 少 技术 人 员 关 注 的 话题 。 

伴随 这 些 问 题 ， 先 后 出 现 了 很 多 网 络 管理 工具 ， 其 中 网 络 管理 平台 是 网 络 环境 管理 中 最 系统 、 
最 直观 的 工具 之 一 。 通 过 网 络 管理 平台 ， 可 以 直观 地 查看 到 当前 网 络 的 动态 拓扑 结构 ， 实 时 查看 所 
有 网 络 设备 的 性 能 状态 ， 以 帮助 网 络 管理 员 实 施 网 络 管理 。 


5.1 网 络 管理 平台 介绍 


随 着 网 络 技术 的 发 展 ， 网 络 管理 工具 层出不穷 ， 但 是 很 多 工具 在 查看 网 络 运行 状态 上 比较 被 
动 , 网 络 出 现 故 障 时 不 能 通过 工具 及 时 表现 出 来 , 具体 的 网 络 故障 点 也 要 运用 工具 去 测试 。 而 网 络 
管理 平台 却 可 以 动态 显示 全 网 的 链接 状态 , 一 旦 出 现 设 备 故 障 或 链接 故障 , 都 会 及 时 通过 网 络 管理 
平台 显现 出 来 ,大 大 提高 了 故障 的 发 现 和 解决 效率 。 因 此， 搭建 可 靠 的 网 络 管理 平台 成 为 了 企业 网 
络 管理 过 程 中 必 不 可 少 的 内 容 。 


5.1.1 什么 是 网 络 管理 平台 


网 络 管理 平台 也 可 称 作 网 络 运 维 管理 系统 。 对 于 运营 商 的 网 络 环境 管理 ， 一 般 都 称 作 网 络 运 
维 管理 ， 所 以 大 多 数 厂 商都 会 使 用 网 络 运 维 管理 系统 这 个 名 字 。 

网 络 管理 平台 不 单单 是 一 个 网 络 管理 软件 的 安装 。 首 先 ， 要 使 用 SNMP 等 网 络 管理 协议 搭建 
一 套 可 管理 的 网 络 环境 ， 这 个 在 第 2 章 中 已 经 做 了 介绍 ; 其 次 , 要 在 网 络 中 指定 的 网 络 管理 设备 上 
安装 网 络 管理 平台 软件 。 满 足以 上 两 点 ， 才 算是 一 套 完 整 的 网 络 管理 平台 系统 。 

通过 网 络 管理 协议 ， 网 络 管理 平台 可 以 获取 所 有 网 络 设备 、 服 务 器 、 主 机 的 运行 状态 及 其 性 
能 参数 。 但 是 网 络 管理 平台 的 产品 比较 繁杂 ， 功 能 也 有 所 差异 。 

具体 来 说 ， 网 络 管理 平台 的 主要 功能 有 以 下 几 个 方面 。 

1. 真实 动态 的 网 络 拓扑 管理 


利用 网 络 管理 平台 ， 可 以 自动 生成 全 网 的 物理 拓扑 结构 ， 动 态 实时 反映 网 络 布线 信息 ， 设 备 
运行 状态 及 链 路 的 流量 变化 情况 等 ， 帮 助 网 络 管理 员 一 目 了 然 地 掌控 整个 网 络 的 实时 运行 状态 。 
如 图 5-1 所 示 为 使 用 Spiceworks 软件 获取 的 网 络 拓扑 图 。 
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2. 层次 化 分 明 的 统一 管理 

当 网 络 的 管理 区 域 相当 庞大 时 ， 通 过 网 络 管理 平台 可 以 实现 分 层 、 跨 地 域 的 管理 。 上 层 网 络 
管理 员 可 以 概括 地 看 到 各 大 区 域 的 链接 状况 ， 也 可 以 细 化 地 查看 某 一 区 域内 查 地 拓扑 结构 。 

3. 多 厂商 设备 的 全 面 管理 

设备 管理 是 网 络 平台 管理 的 核心 。 大 多 数 网 络 管理 平台 都 只 是 SNMP 网 络 管理 协议 ， 只 要 设 
备 运行 了 SNMP 管理 协议 ， 就 可 以 被 网 络 管理 平台 监控 ， 和 设备 的 厂商 没有 直接 关系 。 

4. 全 面 完善 的 告警 系统 

解决 网 络 故障 的 效率 ， 在 网 络 管理 过 程 中 至 关 重 要 。 当 故障 发 生 后 再 去 修复 ， 必 然后 造成 损 
失 。 如 果 在 网 络 运行 刚 出 现 异常 时 就 能 被 发 现 ， 故 障 就 会 在 造成 损失 前 被 解决 。 因此 很 多 网 络 管理 
平台 都 会 设置 告警 系统 ， 对 于 网 络 设 备 、 网 络 链接 的 流量 异常 、 性 能 异常 等 均 可 设置 告警 。 

如 图 5-2 所 示 为 Spiceworks 软件 的 告警 配置 页 面 。 
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5. 全 网 地 址 定位 的 安全 管理 


网 络 管理 平台 可 以 实现 全 网 卫 定位 、MAC 定位 ， 结 合 网 络 安全 技术 进行 安全 隐患 的 排查 , 捕 
捉 地 址 盗用 及 非法 设备 移动 等 。 

6. 系统 的 报表 查询 功能 

通过 对 网 络 的 管理 、 监 控 ， 网 络 管理 平台 可 以 产生 各 类 报表 ， 包 括 各 类 性 能 指标 的 统计 、 均 
量 、 趋 势 等 。 利 用 这 些 报表 信息 ， 可 以 有 效 地 分 析 网 络 性 能 状态 。 

如 图 5-3 所 示 为 WhatsUp Gold 软件 的 事件 查看 报表 。 


7. 异常 数据 流 分 析 

部 分 网 络 管理 平台 还 支持 网 络 流量 的 抓 捕 、 分 析 功 能 ， 通 过 数据 流量 分 析 ， 可 以 发 现 黑客 扫 
描 、 病 毒 扩散 、 网 络 攻击 、 大 流量 下 载 等 网 络 问题 ， 并 快速 地 找到 问题 源 。 
5.1.2 ”主流 网 络 管理 平台 产品 

市 场 上 的 网 络 管理 平台 产品 非常 多 ， 主 流 网 络 产品 有 以 下 几 个 。 

1. Spiceworks 


Spiceworks 是 一 款 针对 中 小 型 企业 的 网 络 设备 管理 和 监控 软件 。 它 由 广告 商 提供 支持 , 是 一 款 
免费 软件 。 根 据 Spiceworks 公司 的 介绍 ， 这 款 软件 适合 雇员 人 数 在 250 人 以 下 的 中 小 型 企业 ， 其 
产品 功能 和 特点 都 是 针对 这 一 市 场 而 定制 的 。 

如 图 5-4 所 示 为 Spiceworks 网 络 管理 平台 的 主页 面 。 
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2. WhatsUp Gold 

WhatsUp Gold 提供 完整 、 易 用 的 监控 机 制 ， 全 方位 监控 应 用 服务 与 网 络 设备 ， 能 协助 IT 
管理 人 员 将 网 管 信息 转变 成 可 阅读 的 商业 信息 。WhatsUp Gold 能 主动 监控 所 有 关键 网 络 设备 
与 应 用 服务 ， 因 而 减少 影响 业务 运作 的 停机 问题 ， 避 免 严重 损失 。WhatsUp Gold 因 具 有 操作 
容易 、 快 速 布 署 、 扩 充 性 强 、 高 投资 报酬 率 等 优势 而 独树一帜 。 

如 图 5-5 所 示 为 WhatsUp Gold 网 络 管理 平台 查看 网 络 设备 的 Web 页 面 。 


[I ;5 EF 


NO RD- TA D 


中 小 型 企业 网 络 管 理 实 战 宇 典 一 一 花 于 Windows 平台 


3. HP OpenView 


HP OpenView 产品 是 惠普 公司 出 品 的 电子 业 
务 管理 工具 程序 ， 被 称 为 “全 球 20 大 软件 公司 必 图 中 转 辑 下 ) a 性 能 下) 配置 故障 到 工具 中 
备 产 品 ”, 面向 HP 9000 和 HP e3000 系列 服务 器 的 
用 户 群 。 客户 可 以 利用 OpenView 来 管理 服务 器 的 
应 用 程序 、 硬 件 设 备 、 网 络 配置 和 状态 , 系统 性 能 、 
业务 以 及 程序 维护 ， 还 能 进行 存储 管理 。HP Open 
View 是 强大 的 网 络 和 系统 管理 工具 ， 是 第 一 个 跨 
平台 的 网 络 管理 系统 。 如 图 5-6 所 示 为 HP 
OpenView 程序 的 主 界面 。 


4. IBM Tivoli NetView 网 络 管理 系统 


IBM Tivoli 是 IBM IT 服务 管理 的 核心 部 分 。Tivoli 是 一 个 跨越 主机 系统 、 客 户 机 /服务 器 系统 、 
工作 组 应 用 、 企 业 网 络 、Internet 服务 器 的 端 到 端的 解决 方案 。Tivoli 软件 为 客户 提供 了 一 个 无 终 集 
成 的 、 灵 活 的 基础 架构 管理 解决 方案 ， 采 用 强健 的 安全 机 制 将 雇员 、 业 务 伙伴 和 客户 连接 起 来 。 
Tivoli 解决 方案 主要 包括 系统 管理 解决 方案 ， 存 储 管理 解决 方案 和 安全 管理 解决 方案 。 

基于 IBM Tivoli NetView 所 提供 的 网 络 管理 平台 , 与 Tivoli 的 整体 管理 框架 紧密 集成 ， 不 但 能 
够 为 用 户 提供 强大 的 管理 能 力 ， 而 且 能 够 方便 地 进一步 发 展 到 全 面 的 系统 管理 。 

IBM Tivoli 与 Cisco 一 直 保持 着 良好 的 合作 关系 ，NetView 能 够 与 Ciscoworks2000 紧密 集成 ， 
实现 从 NetView 中 调用 CiscoView 以 及 Campus Manager 等 Ciscoworks 应 用 ， 在 NetView 中 显示 
Cisco 的 图 标 等 等 。 

如 图 5-7 所 示 为 [BM Tivoli NetView 程序 的 主 界面 。 
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5.2 ”项目 实施 1: 搭建 Spiceworks 网 络 管理 平台 


搭建 网 络 管理 平台 ， 首 先 需 在 公司 内 部 所 有 网 络 设 备 上 开启 SNMP 管理 协议 ， 然 后 在 指定 的 
网 络 管理 设备 上 安装 网 络 管理 平台 软件 。 下 面 主要 介绍 Spiceworks 网 络 管理 平台 的 搭建 及 应 用 方 
法 。 


5.2.1 网络 管理 环境 搭建 


在 安装 Spiceworks 网 络 管理 平台 之 前 ， 首 先 要 做 好 基础 网 络 管理 环境 的 搭建 。 环 境 搭建 的 内 
容 主要 有 以 下 几 方 面 。 

(1) 保证 目前 的 网 络 状态 是 连通 的 。 

(2) 在 所 有 的 被 管理 设备 上 开启 SNMP 网 络 管理 协议 ， 并 设置 团体 名 为 【public】。 

(3) 网 络 管理 设备 的 机 器 性 能 要 相对 稳定 ， 一 般 要 选择 Windows Server 2003/2008 服务 器 。 

(4) 网 络 管理 操作 界面 以 网 页 形式 实现 ，IE 浏览 器 要 支持 JavaScript、CSS 动态 网 页 的 浏览 。 


5.2.2 ”架设 网 络 管理 平台 

网 络 管理 环境 搭建 完成 后 ， 下 面 就 可 以 架设 网 络 管理 平台 。 在 Windows Server 2003 服务 器 中 
架设 Spiceworks 网 络 管理 平台 的 具体 方法 如 下 。 

1. 安装 Spiceworks 

安装 Spiceworks 的 具体 步骤 如 下 。 


I01 运行 安装 程序 进入 安装 界面 。 在 【spiceworks will run on port number】〗 (spiceworks 将 要 
使 用 的 默认 端口 ) 文本 框 中 输入 连接 管理 网 页 所 使 用 的 端口 ， 默 认 值 为 “80”， 单 击 【Next] (下 
一 步 ) 按钮 ， 如 图 5-8 所 示 。 


国 Spi cevorks Setal 


Welcome to the Spiceworks Setup Wizard 


For your security, your data is stored locally and 
never sent to Spiceworks. 


Spiceworks will unon portnumber: 于 


Next > Cancel 


图 5-8 
102 在 弹出 的 对 话 框 中 选择 【I accept these terms of use and Privacy policy】〗 (我 接受 使 用 条 款 
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和 政策 ) 复 选 框 ， 接 受 许可 协议 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 5-9 所 示 。 
@ Spicevorks Setap 用 IS| x| 


SPICEWORKS: 


Press Page Down to see the rest of the agreement. 


Spiceworks Terms and Conditions (June 17. 2009) 


iceworks Terms of Use 
[Thank you for trying the Spiceworks service! This page contains the Terms 
land Conditions of Use (the “Terms of Use"), and a reference to the privacy 
policy (htto .www spiceworks coryprivacy governing your use of the 
Spiceworks 8 ding the Spiceworks web site located at 也 
hehe ao em on Alancacloganl inke to 
JF you accept the agreement, select the first option below. You must accept the 
agreemenk to install Spiceworks. Click Next to continue. 


Taccep these terms of Use and Privacy polcy 
© [do not accept these terms of use and privacy palcy 
Eel 
图 5-9 


3) 在 弹出 的 对 话 框 中 单 击 【Browse】〗( 浏 览 ) 按 钮 ， 可 以 选择 安装 路 径 。 本 实例 选择 默认 的 
安装 路 径 ， 单 击 【Install〗 (安装 ) 按钮 ， 如 图 5-10 所 示 。 


SPICEVORKS' 


Setup wilinstal Spiceworks In the Folowng falder To install n a different Folder, cick Browse 
and select ancther folder, Cick Instal to start the installation. 


图 5-10 
to 级 系统 开始 自动 安装 Spiceworks， 并 显示 安装 的 进度 ， 如 图 5-11 所 示 。 
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O Spi cevorks Setup 


SPICEWORKS: 


whot youve get. your problems: question 


Know if ifs working. Manoge your work. CGet on onswet 


图 5-11 


I05) 安装 完成 后 ， 在 弹出 的 对 话 框 中 选择 【Install Desktop Shortcut】〗 (创建 桌面 快捷 方式 ) 


和 【Run Spiceworks Now】〗 (马上 运行 Spiceworks ) 复 选 框 ， 单 击 【Finish】〗 (完成 ) 按钮 ， 如 图 
5-12 所 示 。 


The Way IT Should Be. Free. 


Just because your networkis complex and expensive 
doesn't mean your management tools need to be 
Splceworks gives you the ability to see whats on your 
network know what's working andwhats not, and 
find the information you need to do your job — easily, 
quickly and for free 


FInstall Desktop Shortcut 


Fi Run Splceworks Now 


图 5-12 
06| 系统 自动 启动 Spiceworks 网 络 管理 平台 ， 并 显示 加 载 的 进度 ， 如 图 5-13 所 示 。 
SPCEVVORKS: 


Spiceworks 
is starting... 


http:W20110211-1604:80 
画 


图 5-13 
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四 加 载 完成 后 ， 登 录 到 Spiceworks 网 络 管理 平台 后 自动 弹出 用 户 信息 录入 网 页 ， 在 页 面 中 
分 别 输入 相应 的 信息 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ，Spiceworks 网 络 管理 平台 的 安装 已 经 完成 ， 
如 图 5-14 所 示 。 


Sela: 到 
训 si - rasme to sytemwks ms | | 


SsPCEwWwORKS 
Create Your Spiceworks Account 


Firstname: rauired 


Lastname: 
Company: 
Usemame 

Create password: 
Conmrm password: 


nousuy: 


Exclusively for Spiceworks Users 


Get deals on he products you need lecelve special, weshly email offers from our rarmers 
Help shape the future of IT: participate in periodic surveys and polls from Spiceworks. 


TREE 可 


图 5-14 


图 5-14 所 示 的 页 面 中 各 个 字段 的 含义 如 下 。 

(1) 【First name】( 名 字 ): 录入 用 户 名 字 。 

(2) 【Last name】( 姓 氏 ): 录入 用 户 姓氏 。 

(3)【Commpany】( 公 司 ): 录入 所 在 公司 。 

(4)【Username】( 用 户 名 ): 设 定 登录 Spiceworks 网 络 管理 平台 的 用 户 名 ， 格 式 为 邮箱 地 址 ， 
此 地 址 尽量 为 可 用 地 址 。 

(5)【Create password】( 输 入 密码 ): 设 定 登录 密码 。 

(6)【Confirm password】( 重 新 输入 密码 ):， 确认 密码 。 

(7)【Industry】( 行 业 ): 选择 应 用 行业 。 


2. 网 络 扫描 


刚 安装 好 的 Spiceworks 网 络 管理 平台 没有 任何 网 络 环境 信息 ， 需 要 进行 网 络 扫描 获得 网 络 环 
境 信息 。 第 一 次 使 用 Spiceworks 网 络 管理 平台 进行 网 络 扫描 的 具体 操作 步骤 如 下 。 


史 用 户 信息 设 置 完 成 后 ， 进 入 Spiceworks 环境 页 面 ， 单 击 【Start with Inventory】〗 ( 以 清单 
形式 开启 ) 选项 ， 如 图 5-15 所 示 。 
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SPICEvVORKS 
Welcome to Spiceworks! 
To get staried, please d atyou would ihe bb dofrst 
Start with Inventory © 
由 8 eol fe erheere d sateare een anyai 
ya rou -cn moaitor roubleaneot and report 


加 wathcene 
Start with Community © 
Findthe informaion you naed io 
New anc forums sre powered by cv 


Our product revievs IT 
OIT Profeasienals just lke 


图 5-15 


to3 第 一 次 进入 管理 页 面 ， 没 有 设备 信息 清单 ， 会 弹出 【What would you like to Lnventory】 
(如 何 获得 清单 ) 页 面 ， 单 击 【Scan my entire network】〗 ( 扫描 全 部 网 络 ) 超级 链接 ， 如 图 5-16 所 
示 。 


What would you like to Inventory? 


Scan my entire network © 


Scan time depends on size of netwo 


Scan only my computer © 


Tetes acout s Minute 


Don't want to do this right now? 


图 5-16 


to3j 弹出 【Scan Settings〗 (扫描 设置 ) 页 面 。 根 据 网 络 的 实际 情况 选择 不 同 的 系统 。 如 果 本 
地 主机 都 是 使 用 Windows 系统 ， 设 置 如 图 5-17 所 示 ， 单 击 【Next】〗 (下 一 步 ) 按钮 。 
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Spiceworks depends on remote administrative privileges to gather 
useful, detailed information about your network 


Windows 


Does the account you are logged into right now have remote 
administration privileges to Windows computers on the network? 


SyesC No 


Unix or Mac Operating Systems 
Do any of your computers run Unix Linux or Mac OS X? 
CyYes® No 


Next 


图 5-17 


出 如 果 本 地 主机 有 Unix/Linux 等 系统 ， 设 置 如 图 5-18 所 示 ， 并 在 【Username】〗 (用 户 名 ) 
和 【Password】〗 ( 密码 ) 文本 框 中 输入 使 用 SSH 连接 该 系统 使 用 的 用 户 名 及 密码 ， 单 击 【Next] 
(下 一 步 ) 按钮 。 


Scan Settings 


Spiceworks depends on remote administrative privileges to gather 
useful, detailed information about your network 


Windows 


Does the account you are logged into right now have remote 
administration privileges to Windows computers on the network? 
GyesC No 


Unix or Mac Operating Systems 
Do any of your computers run Unix, Linux or Mac OS X? 
四 YesC No 


Please provide, if available, an SSH login and password that will work 
across Unix, Linux and Mac OS X computers 


Username: 


Pass 


图 5-18 


itO5 弹出 【Getting ready to inventory your network】〗 ( 准备 库存 网 络 ) 页 面 ， 默 认 对 该 服务 器 
所 在 网 段 “192.168.1.1-254” 范 围 内 的 所 有 设备 进行 扫描 ， 单 击 【Start】〗 (开始 ) 按钮 ， 如 图 5-19 
所 示 。 
Getting ready to inventory your network © 


Please make sure that the following settings are correct, and for best 
results each listed account has administrator privileges. 


IP range Windows account SSH account 
192 168.1.1-254 20110211-1604\Administrator None 


Change Settings Start 


5-19 


106| 弹出 【Spiceworks Updates】〗 (Spiceworks 更 新 提示 ) 页 面 ， 单 击 【OK】 (确定 ) 按钮 ， 
如 图 5-20 所 示 。 
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Spiceworks Updates 


Take your IT to the Next Level. 


A new version of Spiceworks is available! Right click the Spiceworks 
System tray and select Update 


Update 


Spiceworks will require this update in 90 Days 


图 5-20 
本 系统 进入 扫描 页 面 ， 自 动 对 “192.168.1.1-254” 网 段 的 所 有 设备 进行 扫描 ， 如 图 5-21 所 示 。 
£ gj 习 
[2 


to 


STR Carenm Runnng neworrscan 一 aaktoleam more 。 
Owneemorke + Settings » Network Scanr nO 
Dasnooard ew Sem nny spp ewere som 
nonton 十 
Upntomma - 
a 71 equestna remwor son (oe) 
Halp pesk 
Tseces 
Repotng 
User poral 
Sotinge 19.47 £9 NIng In Oe oelals of 172 18 1 237 (2 
19.47:49 ng In donc cetals tor 192 158 ) P| 
\ /ri Scan Entries 


Ask a aueston 


Dlsaussion Groups 
Raungs & Ronone 


Med scare 2911.95.02 0 04.0 er 


Extensicns Center Click here lo add a new scan entry 
sor @ | vew: 9* 呈 * 加 8 内 0 Oa A0 V4 0 
| 
图 5-21 


3. 扫描 指定 网 段 的 网 络 拓扑 结构 


默认 情况 下 ，Spiceworks 只 对 服务 器 所 在 网 段 的 设备 扫描 ， 如 果 需 要 扫描 其 他 网 段 ,必须 手工 
设置 。 
本 实例 以 扫描 范围 “172.16.1.1-254” 为 例 讲述 如 何 手动 设置 ， 具 体操 作 步 又 如 下 。 
04 在 【Getting ready to inventory your network】〗 ( 准备 库存 网 络 ) 页 面 中 ， 单 击 【Change 
Settings〗 ( 改变 设置 ) 按钮 ， 如 图 5-22 所 示 。 
Getting ready to inventory your network © 


Please make sure that the following settings are correct, and for best 
results each listed account has administrator privileges. 


IP range Windows account SSH account 
192 168 1.1-254 20110211-1604\Administrator None 


Change Settings Start 


5-22 
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it02 进入 扫描 网 络 设置 页 面 ， 单 击 【Click here to add a new scan entry〗 ( 单 击 这 里 添加 新 扫 
描 网 络 ) 超级 链接 ， 如 图 5-23 所 示 。 


perweta paies me adabhe nd wa be reqmed m 00 dars 8 
Onemon + Setings , Network Scan™ pm 

aaneeara 站 sse foty Nf Der atm eon 

may Scan Entries 

entenng 

i D192.168.1.1-264 9681 mormammt roo) ra emer 

Ne Wan colo waaate sa 

Tsanices 

Rapenng 

User Fon Scan Excluslons 

Semro se cedce name Perrange exchade from scans 2 
Bi commumy 

cm ew 时 本 7 总 0 7 bh0 150 | 到 
lI 虽 


图 5-23 
to3j 弹出 【Add New Scan Entry】〗 ( 添加 新 扫描 网 络 ) 页 面 ,在 【Device/Range】〗 ( 设备 或 组 ) 
文本 框 中 输入 扫描 范围 “172.16.1.1-254”， 该 文本 框 还 可 输入 区 域名 ， 如 图 5-24 所 示 。 
Add New Scan Entry Cj 


Device/Range: 172.16.1.1-254 


192 -254 comain com etc More help with ranges 
Windows: None 到 w Wingow: 
SSH: None 本 wy SSH 
SNMP: | None DH a00 new SNMP account 
Scan Settings: © Defaut © Custom 
Insert At: Top (Highest Priority) 到 
Save Cancel 
图 5-24 


0 在 【SNMP】〗】( 简 单 网 络 管理 协议 ) 文本 框 中 选择 “Public” 为 SNMP 协议 的 团体 名 (也 
可 根据 实际 情况 单 击 【add new SNMP account】( 添加 新 SNMP 清单 ) 超 级 链接 , 添加 新 的 团体 名 ) ， 
单 击 【Save】〗 (保存 ) 按钮 ， 如 图 5-25 所 示 。 


Add New Scan Entry GB 


Device/Range: 172.16.1.1-254 


192 168 1.1-254, domein com, etc. More help with ranges 
windows Nome sd new Windows account 
SSH: None 轩 sd new ssH account 
ShMp: None | 0 new SNMP sccount 
Scan Settings: rp 
Insert At: Top (Highest Priority) 习 


图 5-25 
05) 新 扫描 范围 添加 成 功 ， 选 择 全 部 扫描 范围 ， 单 击 【Start Network Scan】〗 (开始 网 络 扫描 ) 


.74. 
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超级 链接 ， 如 图 5-26 所 示 。 


ERROR -oo 


人 了 Be ollx Hs. rea pi 
| 
peevens oanms we staes ana wa be rearea m 0 oars H 
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图 5-26 


06j 弹出 【Getting ready to inventory your network】〗 (准备 库存 网 络 ) 页 面 ， 单 击 【Start】 ( 开 
始 ) 按钮 即 可 开始 扫描 自 定义 的 网 络 ， 如 图 5-27 所 示 。 


Getting ready to inventory your network © 


Please make sure that the following settings are correct, and for best 
results each listed account has administrator privileges. 


IP range Windows account SSH account 


192.168.1.1-254 20110211-1604\Administrator None 
172.16.1.1-254 None 


None 


Change Settings SG 


图 5-27 
4. 通过 Network Map 模块 查看 网 络 拓扑 及 信息 
网 络 扫描 结束 后 ， 需 要 清晰 直观 地 查看 网 络 信息 ， 可 以 使 用 Spiceworks 网 络 管理 平台 提供 的 
Network Map 模块 。 
使 用 Network Map 模块 的 具体 操作 步骤 如 下 。 


0 在 Spiceworks 主 界面 的 左 侧 选 项 列表 中 选择 【Network Map】〗 ( 网 络 地 图 ) 选项 ， 在 页 
面 右 侧 窗 格 中 显示 出 扫描 后 的 网 络 拓 扑 图 ， 拓 扑 图 中 每 一 个 图 标 代表 一 个 设备 。 可 以 通过 ， 如 图 
5-27 所 示 ， 如 图 5-27 所 示 图 形 缩放 、 移 动工 具 调 整 拓 扑 图 大 小 及 位 置 ， 也 可 以 通过 鼠标 单 击 拖 蝶 
或 滑轮 改变 拓扑 布局 及 大 小 ， 如 图 5-28 所 示 。 


中 小 型 企业 网 络 营 更 实战 委 芙 基于 Windows 平台 


CET 
图 5-28 

io3 软件 默认 为 【Hierarchy Layout】〗 (分 层 布 局 ) 模式 .选择 【Arrange〗 ( 布局 ) > 【Radial 
Layout】〗 (放射 状 ) 菜单 命令 ， 改 变 网 络 拓扑 图 显示 方式 ， 如 图 5-29 所 示 。 
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图 5-29 
to3j 改变 后 的 拓扑 图 模式 如 图 5-30 所 示 ， 表 现 为 放射 状 。 
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iQ 毕 单 击 网 络 设备 的 图 标 并 拖 史 到 适当 的 位 置 , 将 网 络 拓扑 图 调整 得 更 加 直观 , 如 图 5-31 
所 示 。 


EE 


s~c=w ae 
mT pcewona ecates re a and wg be Peauees nO eas 下 


Owen + Toornip apis = wa 
Deshboand om /ea oe Bm jn 
Oe es ae 


p16120 


Hae Desr v4 _ e124 
srcms ?3 Ye ee So il 9 
Reponng 也 > 
pee mas nt 
¢ CL] a 
ear » mn ED im 


mez 
meram 
Ensons cenle pp2161306 


画 7 Ko M1 ho Ys i 
a 


图 5-31 
5) 单 击 想 要 查看 的 设备 图 标 ， 弹 出 该 设备 的 摘要 信息 框 ， 如 图 5-32 所 示 。 
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图 5-32 


togj 单 击 【Edit] (编辑 ) 超级 链接 ， 打 开 网 络 拓扑 图 编辑 页 面 ， 在 该 页 面 也 可 以 调整 网 络 
拓扑 图 ， 调 整 完成 之 后 ， 单 击 【Save】〗 (保存 ) 按钮 ， 如 图 5-33 所 示 。 


中 小 型 企业 网 络 管 理 实战 委 典 -基于 Windows 平台 
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图 5-33 
0 人 弹出 【Save the map】〗 (保存 地 图 ) 页 面 ， 单 击 【Save new]】 (保存 新 名 ) 按钮 ， 如 图 5-34 
所 示 。 
bi Save the map X 
Map name: 


Sw | (Ganeel 


图 5-34 


io8j 在 【Map name】〗 (地 图 名 字 ) 文本 框 中 输入 网 络 拓扑 图 的 名 字 ( 可 用 时 间 、 范 围 等 信息 
作为 网 络 拓扑 图 名 字 ， 以 方便 记忆 、 查 询 ) ， 单 击 【Save】〗 (保存 ) 按钮 ， 如 图 5-35 所 示 。 


Save the map X 
on 
Saveas 

Eo 


图 5-35 


to9j 返回 到 软件 主 界面 ， 单 击 【Open】〗 (打开 ) 按钮 ， 如 图 5-36 所 示 。 
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图 5-36 


蜡 O 弹出 【Openamap】〗 ( 打开 一 个 地 图 ) 页 面 ， 选 中 网 络 拓扑 图 名 ， 单 击 【Open】〗 (打开 ) 
按钮 即 可 打开 选中 的 网 络 模块 ， 如 图 5-37 所 示 。 


同 Opena map 


Map name: |map1 


Cea 


5.2.3 ”应 用 网 管 平台 

Spiceworks 软件 的 管理 功能 比较 多 , 如 设备 信息 查看 、 管 理 日 志 、 仪表 盘 快 速 浏览 管理 信息 等 ， 
下 面 介 绍 几 种 常用 的 功能 。 

1. 设置 Spiceworks 仪表 盘 ， 直 观 高 效 地 查看 网 络 管理 信息 

为 了 方便 多 种 管理 信息 的 查看 ，Spiceworks 设 定 了 仪表 盘 模 块 ， 具 体操 作 步 骤 如 下 。 


td 在 Spiceworks 主 界面 的 左 侧 选项 列表 中 选择 【Dashboard〗 ( 仪表 板 ) 选项 ， 如 图 5-38 
所 示 。 


中 小 型 企业 网 络 管 理 穴 战 委 其 一 基于 Windows 平台 


图 5-38 


to3 在 弹出 的 页 面 中 单 击 【Add Content】〗 (添加 模块 ) 超级 链接 ， 弹 出 【Add Content】 模 块 
选项 列表 ， 单 击 需要 显示 的 模块 的 超级 链接 ， 即 可 添加 模块 到 仪表 盘 页 面 ， 如 图 5-39 所 示 。 
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图 5-39 
仪表 盘 中 的 显示 模块 比较 多 ， 常 用 模块 的 功能 介绍 如 下 。 


(1) 【Alerts】( 告 警 )， 告警 模块 ， 显 示 最 近 发 生 的 告警 信息 。 

(2)【New Hardware】( 新 硬件 ): 新 硬件 模块 ， 显 示 新 加 网 络 设备 。 

(3)【New Software】( 新 软件 ): 新 软件 模块 ， 显 示 新 安装 的 软件 信息 。 

(4)【Inventory Summary】( 存 货 清单 摘要 ): 设备 信息 摘要 模块 ， 显 示 现 有 设备 。 

(5)【My Notes】( 我 的 日 志 ): 日 志 模 块 ， 查 看 、 编 辑 日 志 。 

(6)【Microsoft Security Bulletins】( 微 软 安全 公告 ): 微软 安 全 公告 模块 ， 显 示 微 软 发 布 的 安 
全 公告 信息 。 

(7)【 Timeline】( 大 事 年 表 ): 事件 记录 模块 ,显示 Spiceworks 网 络 管理 平台 最 近 发 生 的 事件 。 

(8)【IT News & Information】(IT 新 闻 和 消息 ): 业界 新 闻 消 息 模块 。 
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to3j 单 击 【Remove】〗 ( 移 除 ) 选项 ， 可 以 移 除 指定 模块 ， 如 图 5-40 所 示 。 
Bs lx 
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2. 使 用 Inventory 设备 清单 模块 ， 查 看 设备 详细 信息 
通过 Inventory 模块 ， 可 以 查看 设备 的 详细 信息 ， 有 具体 操作 步骤 如 下 。 


罗 在 Spiceworks 主 界面 的 左 侧 选项 列表 中 选择 【Inventory】〗 (库存 清单 ) 选项 ， 右 侧 窗 格 


中 显示 出 已 有 设备 清单 ， 如 图 5-41 所 示 。 
一 [lx 


日- I 国 - 


中 小 蜡 企 业 网 络 管 理 实战 委 典 基于 Windows 平台 


2 如 果 要 查看 某 一 设备 的 详细 信息 ， 可 以 进入 该 设备 的 类 别 中 进行 查看 ， 本 实例 通过 查看 
某 主机 设备 的 信息 为 例 进 行 讲解 ， 单 击 【Workstations〗 (工作 站 ) 对 象 类 别 图 标 ， 如 图 5-42 所 示 。 


图 5-42 


IQ3) 在 右 侧 窗 格 中 显示 【Workstations〗 (工作 站 ) 对 象 类 别 的 设备 列表 ， 单 击 要 查看 的 主机 
设备 图 标 ， 显 示 该 设备 的 详细 信息 ， 如 图 5-43 所 示 。 


io 多 在 页 面 的 下 方 显示 出 对 象 的 详细 信息 ， 默 认 显示 【General Info〗 ( 常规 信息 ) 选项 卡 ， 
如 图 5-44 所 示 。 
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图 5-44 
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图 5-45 
togj 选择 【Events〗 (事件 ) 选项 卡 ， 查 看 该 对 象 的 事件 记录 信息 ， 如 图 5-46 所 示 。 
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中 小 型 企业 网 络 营 理 实战 军 芙 基于 Windows 平台 


iQg 选择 【Configuration〗 (配置 ) 选 项 卡 ， 查 看 该 对 象 的 配置 信息 ， 如 图 5-47 所 示 。 


/a oe tr mso 

Topeie mn Gomera eto censor oon Sewere Meas Pooments ] oo 

和 

圭 20102111604 
20110501@08 0m 


vocessor nial Pensum Nesn 欠 理 本 。 Wemory: Er 


一 本 好 连接 工 192 158 1100 


ao 20814 1CtF 458107 全 
1 


本 1 让 0 Ya 
图 5-47 


t08j 选择 【Software] 选项 卡 ， 查 看 该 主机 安装 的 软件 信息 ， 单 击 【Edit] ( 编辑 ) 按钮 ， 
图 5-48 所 示 。 
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图 5-48 
I09) 进入 对 象 编辑 界面 ， 可 以 编辑 该 对 象 的 部 分 信息 ， 如 图 5-49 所 示 。 
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5-49 
信息 查看 还 有 另 一 种 界面 可 选 ， 具 体操 作 步 又 介绍 如 下 。 
to4 选择 【Icon View】 ( 图 示 视 图 ) >【Browse View】〗 (浏览 视图 ) 菜单 命令 ， 如 图 5-50 


| 
一 


图 5-50 
2 进入 对 象 信息 显示 界面 ， 可 以 查看 对 象 的 详细 参数 信息 ， 如 图 5-51 所 示 。 
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图 5-51 
3. 扫描 新 添加 的 网 络 
在 网 络 中 有 新 用 户 或 新 网 络 添加 时 ， 需 及 时 对 新 添加 的 设备 或 网 段 进行 扫描 ， 具 体操 作 步 又 
如 下 。 


0 和 选择 Spiceworks 界面 左 侧 选 项 列表 中 的 〖Settings〗 (设置 选项 ) 选项 ， 并 单 击 右 侧 窗口 
中 的 【Network Scan〗 ( 网络 扫描 ) 按钮 ， 如 图 5-52 所 示 。 
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02 进入 【Network Scan】〗 ( 网 络 扫描 ) 界面 ， 单 击 【Click here to add anew scan entry】〗 ( 单 
击 这 里 添加 新 扫描 网 络 ) 选项 ， 添 加 新 网 络 并 进行 扫描 ， 如 图 5-53 所 示 。 
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图 5-53 


5.3 项 目 实施 2: 搭建 WhatsUp Gold 网 络 管理 平台 


WhatsUp Gold 软件 也 是 一 款 功 能 完善 的 网 络 管理 软件 ， 它 与 Spiceworks 软件 的 功能 及 实现 流 
程 相似 。 下 面 主要 介绍 WhatsUp Gold 网 络 管理 平台 的 搭建 及 应 用 方法 。 


5.3.1 架设 网 络 管理 平台 


WhatsUp Gold 与 Spiceworks 的 环境 要 求 相 似 , 但 是 具体 的 操作 方法 不 同 。 安 装 WhatsUp Gold 
的 具体 操作 步骤 如 下 。 


I 加 运行 安装 程序 ， 弹 出 【Welcome】〗 (欢迎 ) 对 话 框 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 


图 5-54 所 示 。 
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I02) 弹出 【License Agreement】〗 (许可 协议 ) 对 话 框 ， 选 择 【I accept the terms of the license 
agreement〗 (接受 许可 协议 ) 复 选 框 ， 单 击 【Next】 (下 一 步 ) 按钮 ， 如 图 5-55 所 示 。 
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图 5-55 


03j 弹出 【Enter MSDE-2000 Server Paths〗 ( Mictosoft 数据 库 服务 器 路 径 ) 对 话 框 ， 单 击 
【Browse】〗 (浏览 ) 按钮 ， 可 以 设置 数据 库 文件 存放 的 位 置 ， 本 实例 采用 默认 配置 ， 单 击 【Next] 
(下 一 步 ) 按钮 ， 如 图 5-56 所 示 。 
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图 5-56 


104 弹出 【Choose Destination Location〗 (更 改 目录 位 置 ) 对 话 框 ， 单 击 【Browse】〗 (浏览 ) 
按钮 ， 可 以 设置 WhatsUp Gold 软件 的 安装 目录 位 置 ， 本 实例 采用 默认 配置 ， 单 击 【Next】 (下 一 
步 ) 按钮 ， 如 图 5-57 所 示 。 
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图 5-57 


I05) 弹出 【Enable Web Server】〗 (设置 Web 服务 ) 对 话 框 ,选择 【Yes〗 (是 ) 复 选 框 ， 开 
启 WhatsUp Gold 服务 器 的 Web 访问 功能 ， 在 【Enable Web server on port】〗 (设置 Web 服务 端口 ) 
文本 框 中 输入 Web 连接 端口 ， 本 实例 采用 默认 配置 “80” 端 口 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 
如 图 5-58 所 示 。 
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图 5-58 


06j 弹出 【Ready to Install the Program】〗 (准备 安装 程序 ) 对 话 框 ， 单 击 【Install】〗 (安装 ) 
按钮 ， 如 图 5-59 所 示 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 
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图 5-59 
四 二 系统 开始 自动 安装 WhatsUp Gold， 并 显示 安装 的 进度 ， 如 图 5-60 所 示 。 
划 | 
SEE 
© eee 
图 5-60 


I08) WhatsUp Gold 安装 完成 后 ， 单 击 【Finish〗 ( 完成 ) 按钮 ， 如 图 5-61 所 示 。 
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I09) 系统 自动 弹出 软件 激活 对 话 框 ， 选 择 【Activate Later〗 ( 稍 后 激活 ) 复 选 框 ， 单 击 【 下 
一 步 ] 按钮， 如 图 5-62 所 示 。 到 这 一 步 ， 系 统 已 经 安装 成 功 。 


[matsup Gold Presive Elition vll.0.3 TradacE hctivation 


Welcone to WhatsUp Gold ?Preaius Edition v11.0.3. 


Motivati pd fe hb ‘the evaluatit ad 
Whatsl Up ty rte et wy ne dae er 让 cs 
Deriod. 


rswiren 


once it 


| 


图 5-62 

5.3.2 ”实现 网 络 环境 监控 

使 用 WhatsUp Gold 软件 监视 网 络 环境 ， 首 先 要 进行 网 络 扫描 ， 获 得 网 络 拓扑 、 设 备 配 置 及 性 
能 等 信息 ， 使 用 WhatsUp Gold 软件 获取 网 络 拓扑 的 操作 方法 如 下 。 

1. 第 一 次 网 络 扫描 

首次 运行 WhatsUp Gold 软件 ， 会 弹出 初次 网 络 扫描 的 配置 向 导 ， 使 用 向 导 可 以 轻松 地 获得 第 
一 手 网 络 资料 ， 具 体操 作 步 又 如 下 。 

01 启动 WhatsUp Gold 软件 ， 弹 出 【Setting up the application for the first time】 对 话 框 ， 单 击 
【Next] (下 一 步 ) 按钮 ， 如 图 5-63 所 示 。 


Her Install Wizardl 


Setting up the application for the first time. SD 


ee This wizard helps you thwough the 


The setup 
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图 5-63 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


I02) 弹出 【Device Discovery Methods〗 (设备 发 现 方法 ) 对 话 框 ， 选 择 【IP range scan〗 ( 扫 
描 四 组 ) 单 选 按 钮 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 5-64 所 示 。 
[Er 人 人 人 人 一 = 


Device Discovery Methods 4 


Select a method for scanning your network 
© ERMP SmaSean 
CIPrange sean 
Network Neighborhood 
Hosts fle mport 


Click help for more information on each discovery method 


em | es ll ee ll ne | 


图 5-64 


该 对 话 框 各 个 参数 的 含义 如 下 。 

(1)【SNMP SmartScan】(SNMP 精确 扫描 ): 使 用 SNMP 网 络 管理 协议 扫描 ， 以 团体 名 为 扫 
描 依 据 。 

(2)【IP range scan】(IP 组 扫描 ): 针对 指定 IP 地 址 范围 进行 扫描 。 

(3)【“Network Neighborhood’”】( 网 络 邻居 ):， 扫描 网 络 邻 居 。 

(4)【Hosts file import】 (主机 文件 导入 ): 依照 Hosts 文件 列表 进行 扫描 。 

I03) 弹出 【IP Rangeto Scan〗 (使 用 他 组 扫描 ) 对 话 框 ， 在 【Start address〗 ( 起 始 地 址 ) 文 


本 框 中 输入 起 始 扫描 地 址 ,在 【End address】〗( 结束 地 址 ) 文 本 框 中 输入 终止 扫描 地 址 , 单 击 【Next】 
(下 一 步 ) 按钮 ， 如 图 5-65 所 示 。 


IP Range to Scan © 
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End address: 
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图 5-65 


04 弹出 【SNMP Communities】〗( SNMP 团体 ) 对 话 框 , 在 【SNMP read communities】( SNMP 
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可 读 团体 ) 文本 框 中 输入 SNMP 团体 名 ， 本 实例 采用 默认 配置 “public”， 单 击 【Next】 (下 一 步 ) 
按钮 ， 如 图 5-66 所 示 。 
| 


SNMP Communities 省 , 
SNMP [ead communkties: 
Windows credentials 
(None) EF] 陪 | 


厦 一 可 En 
图 5-66 
I05) 弹出 【Active/Performance Monitors to Scan〗 ( 活动 /性 能 显示 扫描 ) 对 话 框 ,设置 扫描 活 
动 协议 状态 及 设备 性 能 信息 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 5-67 所 示 。 


[Be Te Virerd | 
Active/Performance Monitors to Scan @ 


Select Active Monitors to be used in the scan process: 


TCP Echo Wonitor 


File Transfer Protocol (FTP Server) 

Hypertext Transfer Protocol (Web Server) 
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图 5-67 


Estimated time iemaining 43 seconds 
165 of 254 devices scanned 型 


Scanning 192.168.1.176. 


中 小 型 企业 网 络 管 理 实 战 泽 典 一 一 花 于 Windows 平台 


08 扫描 结束 后 弹出 【Devices to Monitor〗 (设备 显示 列表 ) 对 话 框 ， 显 示 扫 描 结 果 ， 选 择 
需 显示 设备 左 侧 的 复 选 框 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 5-69 所 示 。 
| 


Devices to Monitor EA 


192.168. 1. 100 
A-OADISE3A9. .. 192.168.1.103 。 Ping Ping Latency a 
A-ONDISE3A9... 192.168.1.104 。 Ping Ping Latency & 
A-OADISE3A9. ., 192.168.1.105 。 Ping Ping Latency & 
192.168.1.110 192.166.1.110 Ping SMP Interface Vtil, 
192.168.1.120 192.168.1.120 Ping, SHI Interface Vtil. 


ek | [ree> ] crm | mo | 
图 5-69 


08j 弹出 [Action Policy Selection】 (选择 动作 策略 ) 对 话 框 , 选择 [Assist in creating a new action 
policy〗 (设置 新 动作 策略 ) 单 选 按钮 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 5-70 所 示 。 


Action Policy Selection 也 


Achon polces are used to assign goups of actions to a device 


we |Leee> ] cre | mo | 
图 5-70 


I09) 弹出 【Action Strategies〗 (动作 策略 ) 对 话 框 ， 共 有 三 部 分 内 容 的 设置 ， 分 别 是 : 【Ifa 
device has been unresponsive for 5 minutes, notify me by】〗( 如 果 一 个 设备 丢失 5 分 钟 如 何 提醒 我 ) 、 
【If a device has been unresponsive for 20 minutes，notify me by】〗 ( 如 果 一 个 设备 丢失 20 分 钟 如 何 
提醒 我 ) 、【When a device starts responding againynotify me by】〗 ( 当 一 个 设备 重新 连接 时 如 何 提 醒 
我 )。 可 以 通过 E-mail 邮件 、 提 示 音 、windows message 信息 三 种 方式 进行 提醒 , 三 项 均 选 择 E-mail 
邮件 和 提示 音 方式 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 5-71 所 示 。 
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图 5-71 
同上 0 弹出 【Internet E-mail Address〗 (邮箱 地 址 设置 ) 对 话 框 ， 在 【E-mail address】〗( 邮件 地 


址 ) 文本 框 中 输入 有 效 的 邮箱 地 址 ， 在 【Outgoing mail (SMTP) server】〗 ( 向 外 发 送 邮件 SMTP 服 
务 器 ) 文本 框 中 输入 SMTP 服务 器 地 址 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 5-72 所 示 。 


Internet Email Address 国 


Emor the emal addotayou wart hho acton omal ton 
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图 5-72 


电信 弹出 【Action Policy Summary】〗 (动作 策略 命名 ) 对 话 框 ， 在 【Policy name】〗 ( 策略 名 ) 
文本 框 中 输入 策略 名 ， 本 实例 采用 默认 配置 ， 单 击 【Next]〗 (下 一 步 ) 按钮 ， 如 图 5-73 所 示 。 


Send Up 5 Email (userQ163. eon) 
Fay Wm 5 Somd 


图 5-73 


中 小 型 企业 网 络 管理 实战 室 典 基于 Windows 平台 


加 2 弹出 【Finish】〗 (完成 ) 对 话 框 ， 在 其 中 显示 出 已 配置 的 策略 ， 单 击 【Finish】〗 (完成 ) 
按钮 ， 如 图 5-74 所 示 。 


Performance 
+ The Action Policy name is ‘Action Policy OT 


Cick Finish to start monitoring 
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图 5-74 
ii 到 进入 WhatsUp Gold 程序 主 界面 , 窗口 右 侧 显示 了 扫描 结果 , 显示 信息 包括 设备 名 、 地 址 、 
We 
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图 5-75 
i 纲 单 击 ee (地 图 视图 ) 选项 卡 ， 使 用 视图 形式 查看 网 络 设备 ， 如 图 5-76 所 示 。 
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2. 拓展 网 络 拓扑 


第 一 次 扫描 往往 不 能 获取 网 络 内 所 有 设备 的 信息 ， 需 要 管理 员 手 工 添加 未 扫描 到 的 设备 ， 以 
完善 网 络 拓扑 结构 。 
添加 新 设备 的 具体 操作 步骤 如 下 。 


id 在 WhatsUp Gold 主 界面 左 侧 选择 【Device Types (Basic)〗 ( 基本 设备 类 型 ) 选项 列表 ， 
列表 中 显示 了 很 多 可 添加 的 设备 类 型 ， 如 图 5-77 所 示 。 


图 5-77 
2 选择 需要 添加 的 设备 类 型 ， 如 【Router】〗 (路 由 器 ) ， 将 其 拖 描 到 右 侧 视图 界面 ， 如 图 


5-78 所 示 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


03j 弹出 【Add New Device】〗 (添加 新 设备 ) 对 话 框 ， 在 【IP address or host name ofthe new 
device〗 (新 设备 JP 地 址 或 主机 名 ) 文本 框 中 输入 要 添加 设备 的 JP 地址 或 主机 名 ， 本 实例 采用 
“172.16.1.2” 主 机 为 例 进 行 讲解 ， 单 击 【Advanced】〗 (高 级 ) 按钮 ， 如 图 5-79 所 示 。 


可 
Jp address or host name of the new device: dvanced… 
Pe 革 a 到 | 


Example: 192.168.200.123 or www.somedomain.com 
厂 Add device mmediately without scanning 


图 5-79 


0 旨 在 弹出 的 对 话 框 中 ， 选 择 需 要 获得 目标 设备 的 哪些 信息 ， 单 击 【OK】 (确定 ) 按钮 ， 如 
图 5-80 所 示 。 
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图 5-80 


I05) 返回 【Add New Device】〗 ( 添加 新 设备 ) 对 话 框 ， 单 击 【OK]】 (确定 ) 按钮 ， 如 图 5-81 
所 示 。 


到 
Jp address or host name of the new device: Advanced... | 
1172.16.1.2 Caw | 


Example; 192,168.200.123 or www.somedomain.com 
Add device immediately without scanning 


图 5-81 
I06] 系统 自动 扫描 主机 信息 ， 并 显示 扫描 进度 ， 如 图 5-82 所 示 。 
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Scanning172161.2 


图 5-82 


四 本 扫描 结束 ， 自 动弹 出 设备 172.16.1.2 的 基本 信息 配置 界面 ， 本 实例 采用 默认 配置 ， 单 击 
【OK]】 (确定 ) 按钮 ， 如 图 5-83 所 示 。 
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图 5-83 
to8j 设备 "172.16.1.2? 添 加 成 功 ， 设 备 图 标 显示 在 右 侧 视图 窗口 ， 绿 色 表示 设备 可 连通 ， 如 图 


5-84 所 示 。 


Dy 
3 Theesew C011-05-04 01:04.58) 


图 5-84 
3. 调整 设备 链接 关系 ,绘制 网 络 拓扑 图 


设备 添加 成 功 后 ， 只 可 以 看 到 设备 图 标 ， 但 是 无 法 看 到 所 有 设备 的 链接 关系 ， 不 能 直观 的 查 
看 网 络 拓扑 图 ， 链 接 关系 需要 手工 添加 。 


添加 链接 关系 ， 绘 制 网 络 拓扑 图 的 具体 操作 步骤 如 下 。 
to 册 右 击 图 中 某 一 网 络 设备 ， 在 弹出 的 快捷 菜单 中 选择 【Link】〗 (链接 ) > 【Link to ( 连 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


接 到 ) 菜单 命令 ， 如 图 5-85 所 示 。 


图 5-85 


to3 弹出 【Select a Monitor to Link〗 (挑选 一 种 方式 连接 ) 对 话 框 ， 选 择 适当 的 测试 连通 方 
式 ， 本 实例 采用 “Ping” 方 式 ， 单 击 【OK】〗 (确定 ) 按钮 ， 如 图 5-86 所 示 。 
x 


图 5-86 
io3j 鼠标 指针 显示 带 有 “+” 号 的 短线 ， 单 击 要 连接 的 设备 ， 如 图 5-87 所 示 。 
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i@ 毕 选择 的 两 个 设备 会 通过 “Ping” 命令 测试 连接 状态 ， 链 接 关 系 建立 成 功 后 如 图 5-88 所 示 。 


ll 


re cmt De ps 
ERE ES CeaAAN WE Ni 


TPRan 


图 5-88 
tog 根据 网 络 设备 链接 状况 ， 添 加 所 有 设备 及 链接 关系 ， 形 成 最 终 的 网 络 拓扑 图 ， 如 图 5-89 


所 示 。 


5.3.3 ”查看 网 络 设备 信息 


使 用 WhatsUp Gold 可 以 通过 网 页 形式 查看 设备 的 信息 ， 具 体操 作 步 又 如 下 。 


0 和 Y 右 击 需要 查看 的 设备 图 标 ， 在 弹出 的 快捷 菜单 中 选择 【Device Reports〗 (设备 报告 ) 菜 
单 命令 ， 如 图 5-90 所 示 。 


* 101. 


中 小 型 企业 网 络 管 理 实战 年 典 基于 Windows 平台 
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图 5-90 


to23 打开 WhatsUp Gold 网 页 登陆 页 面 在 【User Name】〗 (用 户 名 ) 文本 框 中 输入 登陆 用 户 


名 , 在 【Password】〗( 密码 ) 文本 框 中 输入 登录 密码 , 用户 名 及 密码 默认 为 “admin”, 单 击 【Login】 
(登录 ) 按钮 ， 如 图 5-91 所 示 。 
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图 5-91 


tj 进入 设备 报告 查看 页 面 ， 单 击 页 面 内 的 选项 可 以 查看 到 各 种 相关 信息 ， 如 图 5-92 所 示 。 
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图 5-93 


0 旨 打开 【Devices〗 (设备 ) 选项 卡 ， 在 右 侧 窗口 中 双击 需要 查看 信息 的 设备 ， 本 实例 使 用 
“192.168.1.120” 为 例 进行 讲解 ， 如 图 5-93 所 示 。 


tog 进入 设备 “192.168.1.120” 的 信息 统计 界面 ， 通 过 界面 可 以 获得 设备 的 性 能 列表 、 基 本 
信息 、 日 志 信 息 、SNMP 协议 信息 等 ， 如 图 5-94 所 
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5.3.4 网络 故障 发 现 与 修复 


网 络 运营 中 会 出 现 很 多 链接 问题 ， 通 过 WhatsUp Gold 可 以 清晰 地 看 出 故障 问题 ， 具 体 显 示 效 
果 如 下 。 


(1) 网 络 设备 刚 断 开 时 ， 设 备 图 标 形状 和 颜色 变化 如 图 5-95 所 示 。 


出 


EEC 


图 5-95 
(2) 网 络 设备 断 开 2 分 钟 后 ， 设 备 图 标 形状 和 颜色 变化 如 图 5-96 所 示 。 
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5-01 01:04:59)] 


192.168.1.1 


断 开 2 分 钟 的 网 络 设备 


图 5-96 


(3) 网 络 设备 断 开 5 分 钟 后 ， 设 备 图 标 形 状 和 颜色 变化 如 图 5-97 所 示 。 
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图 5-97 


(4) 网 络 设备 断 开 15 分 钟 后 ， 设 备 图 标 形状 和 颜色 变化 如 图 5-98 所 示 。 
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图 5-98 


在 设备 图 标 背景 变化 的 同时 ， 服 务 器 会 随 之 发 出 提示 音 ， 并 向 提前 设 定好 的 邮箱 地 址 发 送 邮 
件 。 这 类 问题 一 般 是 网 络 线 缆 问 题 或 网 络 设备 问题 ， 需 要 网 络 管理 员 排查 检修 。 

网 络 故 障 排除 的 具体 思路 如 下 。 

td 通过 其 他 工具 测试 是 否 能 与 该 设备 通信 ， 同 时 可 以 采用 多 种 协议 测试 。 通 过 测试 结果 判 
断 故 障 问题 ， 如 果 部 分 协议 可 通信 ， 可 以 考虑 是 否 在 网 络 中 添加 了 访问 策略 。 

iQ2 通过 其 他 方法 依然 无 法 连通 时 ， 要 先 考虑 断 开 设备 是 否 当 机 ， 或 做 了 配置 调整 ， 导 致 网 
络 不 可 达 。 管 理 员 可 以 到 设备 附近 ,调试 配置 设备 。 通 过 终端 连接 测试 后 设备 运行 没有 问题 ， 可 排 
除 该 故障 。 

tQ3j 网 线 在 使 用 时 也 可 能 被 损坏 ， 可 以 使 用 测试 工具 对 网 线 的 连通 做 测试 。 

i@ 约 网 线 测试 没有 问题 ， 也 可 能 是 网 线 接口 故障 ， 可 以 更 换 接 口 再 做 测试 。 


以 上 步骤 只 是 通用 步骤 ， 可 能 在 网 络 中 出 现 特殊 故障 原因 ， 管 理 员 可 以 根据 实际 情况 进行 排 
查 。 


5.4 专家 答疑 


(1) 使 用 网 络 管理 平台 监控 、 查 看 设备 时 ， 为 什么 不 能 获得 设备 的 详细 信息 及 性 能 ? 

答 : 可 以 从 两 个 方面 考虑 出 现 这 一 现象 的 原因 。 其 一 ， 网 络 设备 连接 是 否 正 常 ， 可 以 通过 网 
络 测试 工具 ,测试 网 络 连接 状态 ; 其 二 ， 获 取 详 细 信息 需要 有 网 络 管理 协议 的 支持 ， 可 以 查看 被 管 
设备 是 否 安装 、 开 启 了 SNMP 网 络 管理 协议 ， 或 者 是 SNMP 协议 使 用 的 团体 名 是 否 一 致 ， 默 认 团 
体 名 为 public。 

(2) 使 用 Spiceworks 网 络 管理 平台 监控 网 络 时 ， 网 页 内 的 部 分 信息 无 法 显示 ， 并 且 经 常 弹出 


OO 
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如 图 5-99 所 示 提 示 框 。 


Your Browser is Incompatible with 
Spiceworks 


Either you have JavaScript, cookies, or Stylesheets (CSS) turned off or 
You are using a browser without the features required to use 
Spiceworks. 


Spiceworks is compatible with modern browsers, and requires 
JavaScript, Cookies, and Stylesheets (CSS) to function correctly. 


If your browser meets these requirements and you are Still having 


issues, please send an e-mail to support(@spiceworks com with an 
explanation of the problem， 


图 5-99 


答 : 出 现 这 类 问题 的 主要 原因 是 ， 在 使 用 Spiceworks 网 络 管理 平台 查看 信息 时 ， 网 页 中 要 显 
示 动 态 信息 ， 如 果 系统 没有 安装 JavaScript 环境 或 没有 CSS 文件 , 动态 网 页 信息 无 法 显示 。 所 以 在 
使 用 Spiceworks 软件 前 ,一定 要 先 安装 好 动态 网 页 浏览 环境 。 


第 6 章 服务 器 的 监控 与 管理 


服务 器 作为 网 络 中 最 重要 的 设备 之 一 ， 是 网 络 管理 中 不 容 忽视 的 部 分 。 服 务 器 性 能 的 好 坏 直 
接 影响 到 服务 器 的 工作 效率 , 对 整个 企业 的 业务 运作 有 很 大 影响 。 如何 让 服务 器 稳定 、 可 靠 地 工作 ， 
成 为 了 不 少 网 络 管理 员 必 做 的 工作 之 一 。 同 时 ， 如 何 高 效 、 准 确 地 进行 服务 器 管理 ， 也 是 管理 员 所 
关注 的 问题 。 


6.1 服务 器 管理 需求 分 析 


在 实施 服务 器 管理 之 前 ， 首 先 要 了 解 什 么 环境 下 会 用 到 服务 器 远程 管理 技术 ， 并 且 要 明确 对 
服务 器 进行 哪些 管理 操作 。 

1. 什么 情况 需要 使 用 服务 器 远程 监控 管理 技术 

大 多 数 的 服务 器 都 放置 在 机 房 里 ， 不 需要 管理 员 到 设备 面前 操作 。 一 般 都 是 采用 远程 桌面 连 
接 的 方式 , 但 是 这 种 方式 安全 性 较 低 , 而 且 只 能 实现 对 远程 设备 的 控制 , 却 无 法 直观 地 监控 其 性 能 、 
工作 状态 。 

有 些 企业 服务 器 是 整个 公司 业务 运作 的 支柱 ， 一 旦 服务 器 性 能 出 现 故 障 很 容易 造成 损失 。 必 
须要 有 能 实时 的 为 管理 员 提 供 服务 器 性 能 状态 信息 的 程序 , 这 时 就 需要 远程 服务 器 监控 程序 了 。 这 
些 专 业 的 服务 器 监控 程序 不 但 可 以 实现 服务 器 的 远程 配置 ,同时 还 可 以 实现 服务 器 性 能 状态 的 实时 
分 析 ， 并 以 图 表 、 报 告 的 形式 予以 显示 。 除 此 之 外 ， 远 程 服务 器 监控 程序 比 远程 桌面 连接 的 安全 性 
高 很 多 ， 有 些 程序 需要 管理 员 使 用 指定 的 端口 、 口 令 、 主 机 卫 或 管理 端 程序 才 可 以 实现 连接 。 

2. 需要 对 服务 器 进行 哪些 方面 的 监控 与 管理 

通过 远程 服务 器 监控 程序 ， 需 要 对 服务 器 做 以 下 几 项 工作 。 

对 服务 器 的 系统 配置 、 软 件 程序 具有 调试 管理 权限 。 

能 够 实时 的 监控 系统 的 网 络 访问 流量 ， 并 能 对 流量 进行 简单 的 分 析 。 
能 够 动态 的 反应 系统 及 服务 器 当前 的 运行 状态 。 

能 够 实时 的 查看 CU、 内存、 硬盘 等 硬件 的 性 能 状态 。 

能 够 获得 完善 的 系统 日 志 。 
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6.2 ”服务 器 性 能 指标 分 析 


通过 远程 监控 管理 ， 会 涉及 到 很 多 表示 服务 器 性 能 的 参数 指标 ， 在 进行 管理 前 必须 要 理解 这 
些 性 能 指标 的 意义 。 性 能 是 决定 服务 器 可 用 性 、 稳 定性 的 决定 因素 ， 任 何 一 台 服 务 器 ， 最 值得 关注 
的 就 是 其 性 能 。 


6.2.1 ”服务 器 性 能 指标 


服务 器 的 性 能 指标 可 以 根据 应 用 不 同 进行 分 类 ， 经 常用 到 的 有 系统 通用 性 能 指标 、Web 服务 
器 指标 、 数 据 库 服务 器 性 能 指标 。 下 面 分 别 进行 介绍 。 


1. 通用 性 能 指标 
大 多 数 服务 器 除去 服务 ， 使 用 最 多 的 性 能 指标 有 以 下 三 种 。 


(1) Processor Time (CPU 占用 率 ): 用 于 显示 CPU 的 性 能 ， 一 般 CPU 的 占用 率 不 应 该 长 期 
超过 70%~80%， 通 过 图 表 查 看 CPU 性 能 长 期 超过 限定 值 时 ， 要 对 系统 进行 分 析 , 确定 是 需要 升级 
服务 器 ， 还 是 有 不 当 配 置 或 恶意 程序 需要 处 理 。 

(2) Memory Available Mbyte〈 可 用 内 存 数 ): 用 于 显示 内 存 性 能 ， 内 存 空闲 数量 影响 着 整个 
系统 服务 的 运行 ， 虽 然 可 以 增加 虚拟 内 存 ， 但 是 物理 内 存 也 不 能 长 期 处 于 被 大 量 占 用 的 状态 。 

(3) Physicsdisk Time (物理 磁盘 读 写 时 间 情 况 ): 磁盘 的 读 写 速度 对 服务 器 的 运行 、 访 问 影 
响 很 大 ， 当 磁盘 读 写 速 度 明 显 下 降 时 要 考虑 是 否 磁盘 有 坏 道 , 要 在 故障 发 生 之 前 及 时 修复 或 更 新 磁 
盘 ， 以 避免 磁盘 彻底 损坏 ， 数 据 丢 失 。 

2. Web 服务 器 指标 
Web 服务 器 是 使 用 最 多 的 服务 器 ， 它 需要 关注 的 性 能 指标 有 以 下 几 种 。 


(1) Requests Per Second 〈 平 均 每 秒 钟 响 应 次 数 ): 统计 一 个 时 间 段 内 的 平均 请 求 次 数 ， 通 过 
统计 可 以 比较 是 否 在 某 些 时 间 段 出 现 大 量 响应 ， 以 判断 是 否 为 非法 访问 。 

(2) Successful Requests〔 成 功 的 请 求 )， 查 看 一 个 时 间 段 内 成 功 请 求 的 数量 ， 和 服务 器 本 身 
所 能 承受 的 请 求 数 进行 比较 ， 确 定 是 否 需要 调整 配置 或 升级 服务 器 。 

(3) Failed Requests (失败 的 请 求 )， 统计 一 段 时 间 内 失败 的 请 求 数 ， 用 以 判断 服务 器 是 否 有 
访问 故障 或 者 是 否 有 网 络 攻击 存在 。 

(4) Successful Hits (成 功 的 点 击 次 数 ): 在 网 络 访问 时 ， 虽 然 网 页 可 以 连接 到 ， 但 是 只 有 部 
分 连接 可 以 点 击 成 功 ， 有 些 却 不 能 成 功 ， 本 性 能 参数 统计 的 是 成 功 点 击 数 。 

(5) Failed Hits (失败 的 点 击 次 数 )， 统计 单位 时 间 内 失败 的 点 击 数 ， 如 果 统 计量 过 大 可 以 考 
虑 是 否 服务 器 的 个 别 连接 出 现 了 异常 。 

(6) Hits Per Second〈 每 秒 点 击 次 数 ): 单位 时 间 内 的 点 击 数 。 

(7) Successful Hits Per Second〔 每 秒 成 功 的 点 击 次 数 ): 单位 时 间 内 成 功 的 点 击 数 。 

(8) Failed Hits Per Second (每 秒 失 败 的 点 击 次 数 )， 单位 时 间 内 失败 的 点 击 数 。 可 用 于 发 现 
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服务 故障 。 
3. 数据 库 服务 器 性 能 指标 


除了 Web 服务 之 外 ， 企 业内 的 重要 数据 都 需要 专业 的 数据 库 服务 器 进行 管理 ， 所 以 数据 库 服 
务 器 的 性 能 也 是 至 关 重 要 的 ， 它 需要 关注 的 性 能 指标 有 以 下 几 种 。 

(1) User Connections 〈 用 户 连接 数 ): 数据 库 并 发 连接 数量 统计 ， 可 以 和 数据 库 本 身 人 允许 的 
最 大 连接 数 比较 ， 判 断 是 否 到 达 上 限 。 

(2) Number ofdeadlocks 〈 数 据 库 死 锁 数 ): 对 数据 库 错误 运行 或 访问 出 现 死 锁 情 况 的 反映 ， 
用 于 发 现 故 障 。 
6.2.2 ”性 能 测试 的 目的 

对 服务 器 进行 性 能 检测 主要 是 为 了 验证 软件 程序 或 系统 是 否 能 够 达到 用 户 提出 的 性 能 指标 ， 
以 此 来 判断 软件 程序 或 系统 中 是 否 存 在 性 能 瓶颈 或 服务 故障 ， 进 而 实施 软件 、 系 统 优化 ,达到 系统 
服务 稳定 运行 的 目的 。 

细致 划分 ， 性 能 测试 的 目的 包括 以 下 几 个 方面 。 

1. 评估 系统 的 工作 能 力 

通过 测试 ， 可 以 得 到 系统 的 负荷 和 响应 时 间 数 据 ， 通 过 这 些 和 服务 架设 要 求 进行 比较 ， 判 断 
系统 是 否 能 满足 当前 架设 服务 的 需求 ， 并 做 出 调整 、 升 级 。 

2. 查找 服务 架设 体系 中 的 问题 

通过 性 能 数据 ， 可 以 查找 系统 服务 的 瓶 开 ， 并 加 以 改善 ， 使 系统 服务 达到 性 能 的 全 面 发 挥 。 
同时 还 可 以 对 错误 信息 进行 分 析 ， 找 出 系统 程序 中 隐 含 的 问题 加 以 调整 。 

3. 验证 稳定 性 和 可 靠 性 

稳定 性 和 可 靠 性 是 每 一 个 服务 器 最 先 要 考虑 的 问题 ， 只 有 稳定 可 靠 的 运行 才 可 能 实现 其 服务 
的 意义 。 通 过 获取 的 性 能 信息 ， 可 以 对 此 做 出 判断 ， 并 能 判断 出 影响 系统 稳定 性 及 可 靠 性 的 因素 。 


6.3 ”服务 器 远程 控制 工具 介绍 


实现 服务 器 远程 管理 的 方法 有 很 多 ， 最 常见 的 有 Telnet、ssh、vnc、 远 程 桌面 等 技术 。 除 此 之 
外 还 有 一 些 专门 的 服务 器 远程 控制 工具 ， 如 RemotelyAnywhere、pcAnywhere 等 。 下 面 对 以 上 几 种 
技术 、 工 具 进 行 详细 介绍 。 


6.3.1 Telnet 


Telnet 是 远程 服务 器 管理 中 使 用 最 普遍 的 技术 , 它 属于 TCP/IP 协议 族 , 是 Internet 远程 登陆 服 
务 的 标准 协议 和 主要 方式 。 在 本 地 计算 机 上 运行 Telnet 程序 ， 可 以 连接 到 远程 服务 器 ， 并 通过 终端 
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命令 实现 对 远程 主机 的 控制 。 

Telnet 技术 主要 是 通过 DOS 命令 实现 管理 控制 。 通 过 DOS 命令 管理 有 很 多 的 优点 ,首先 在 控 
制 端 与 被 控制 端 不 会 有 图 形 信息 传输 ， 提 高 了 信息 的 传输 效率 ， 其 次 使 用 DOS 命令 可 以 实现 很 多 
强大 的 控制 功能 ， 提 高 了 远程 控制 效率 。 想 要 使 用 Telnet 技术 ， 管 理 员 首先 要 熟悉 常用 的 DOS 命 
令 ， 但 是 DOS 命令 繁多 ,不 易 记忆 ， 操 作 不 够 直观 ， 让 很 多 管理 员 望 而 却步 。 所 以 建议 将 Telnet 
当做 一 种 辅助 管理 技术 来 使 用 。 

想 要 让 终端 主机 控制 远程 服务 器 ,需要 先 建立 Telnet 连接 。 在 建立 连接 时 ， 要求 两 端的 Telnet 
服务 均 处 于 开启 状态 。 

启 Telnet 服务 的 具体 操作 步骤 如 下 。 


0 和 9 选择 [开始 ]>【 运 行 ] 菜 单 命令 ,弹出 [运行 ] 对 话 框 ,在 [打开 】 文 本 框 中 输入 “services.mse” 
命令 ， 如 图 6-1 所 示 。 


EE 
天] 时 蕙 0 
HOU Eee | 

图 6-1 
02 弹出 【服务 】 窗 口 ， 在 右 侧 区 域 找 到 【Telnet】 服 务 项 ， 该 服务 项 的 【启动 类 型 】 为 已 禁 


用 ,说明 当前 主机 的 Telnet 服务 没有 开启 ， 双 击 【Telnet】 服 务 项 ， 如 图 6-2 所 示 。 
6 可 


文件 @) 换 作 人 ) 查看 QJ)。 帮助 0 


中 省 || 加 | 了 日 本 | 国 轩 | am 1 本 


图 6-2 


tQ3j 弹出 【Telinet 的 属性 〗 对 话 框 ， 默 认为 【已 禁用 】 启 动 类 型 ， 此 时 的 【服务 状态 】 全 为 
灰色 。 在 【启动 类 型 〗 选 项 列表 中 选择 【手动 〗 选 项 ， 单 击 【应 用 】 按 钮 ， 如 图 6-3 所 示 .。 
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| 
讽 | 有 好 | 依 复 | 休 存 关系 | 
服务 名 称 :TIntsm 


描述 四 0): 用 户 卫 下 机 并 运行 程序 ,并 习 
可 执行 文件 的 路 径 0D 
Esys nln ee 
启动 类 型 到): [已 人 月 了 ] 
服务 状态 : 

启动 国 和 ED 轩 所 EE 和 王 面 


当 从 此 处 启动 服务 时 ,您 可 指定 所 适用 的 启动 戎 数 。 


启动 台数 00 


取消 [a 
图 6-3 


0 和 【启动 类 型 〗 变 为 【手动 〗， 单 击 【 启 动 〗 按 钮 ， 如 图 6-4 所 示 。 


了 
委 规 “| 型 录 | 饶 复 | 依存 关系 | 
服务 名 称 : Tatswm 
55 BE 
者 WD。 ENE 有 PT 
0 
LE: WINDOWS\sys ten32\tlntsvyr. exe 


月 动 过 型 E) 


设置 启动 类 型 


服务 状态 ; 已 食 止 


局 动 G) SEGY 斩 序 闻 LA 


当 从 此 处 启动 服务 时 ,您 可 指定 所 适用 的 局 动 参数 。 


Ein [| 


图 6-4 


5) 【服务 状态 】 为 “已 启动 ”， 对 当前 服务 状态 可 以 执行 【停止 〗 和 【暂停 】 操 作 ， 单 击 
【确定 】 按 钮 完成 Telnet 服务 的 开启 ， 如 图 6-5 所 示 。 


连接 命令 “telnet ip/hostname”。 在 连接 时 必须 输入 有 权限 的 账户 和 密码 ， 一 般 使 用 管 
提 示 。 理 员 账户 “administrator”， 密 码 不 能 为 空 。 


(7 控制 端 和 被 控制 端的 Telnet 服 务 都 开启 后 ， 需 要 在 控制 端的 命令 提示 符 中 执行 Telnet 
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Telnet 的 尾 广 (本 地 计算 各》 | 
党 规 | 宇 录 | 恢复 | 依存 关系 | 
服务 和 名称。 Tintsmr 


WINDONS\systen32 Wntsyr exe 
启动 类 型 到 ): [手动 了 
服务 状态 ; 已 自动 


当 从 此 处 启动 服务 时 ， 您 可 指定 所 适用 的 启动 驮 数 。 


启动 参数 代 


确定 职 消 应 用 入 
图 6-5 


6.3.2 ”远程 桌面 


远程 桌面 功能 是 Windows 系统 自 带 的 一 种 远程 管理 工具 。 它 具有 操作 方便 、 直 观 等 特征 。 当 
服务 器 开启 了 远程 桌面 连接 功能 后 ， 就 可 以 在 网 络 中 的 其 它 终端 客户 机 上 连接 控制 这 台 服 务 器 了 。 
通过 远程 桌面 功能 可 以 实时 的 操作 服务 器 , 几乎 可 以 对 服务 器 进行 任何 操作 ,就 好 像 是 直接 在 该 服 
务 器 上 操作 一 样 。 

但 是 ，Windows 远程 桌面 使 用 IP 地 址 指向 被 控 端 主机 进行 连接 , 这 在 跨 网 络 互联 时 很 不 方便 ， 
所 以 很 多 机 构 研究 出 了 更 安全 、 易 用 的 远程 桌面 控制 工具 , 像 国 内 的 51MyPC， 国外 的 Mikogo 等 。 


6.3.3 ”远程 控制 一 一 RemotelyAnywhere 


RemotelyAnywhere 程序 是 利用 浏览 器 进行 远程 连接 控制 服务 器 的 小 程序 。 使 用 时 只 需要 在 服 
务 器 端 安装 该 软件 即 可 ， 只 要 知道 连接 地 址 及 端口 ， 其 他 任何 主机 都 可 以 通过 浏览 器 访问 , 不 过 该 
软件 的 部 分 功能 需要 支持 JAVA 的 浏览 器 才能 实现 。 

通过 该 软件 可 以 轻松 直观 的 获取 任何 管理 、 性 能 信息 ， 可 以 对 服务 器 进行 完全 的 控制 。 由 于 
只 需要 在 服务 器 上 安装 程序 , 所 以 管理 员 即 使 在 互联 网 也 可 以 访问 内 网 的 管理 服务 器 , 前 提 是 该 服 
务 的 地 址 端口 能 通过 出 口 设备 的 NAT 转换 功能 被 外 网 访问 。 


6.3.4 “远程 控制 一 一 pcAnywhere 


和 RemotelyAnywhere 比 起 来 ，PcAnywhere 的 操作 就 有 些 复 杂 了 。 该 软件 在 使 用 时 需要 在 管 
理 端 和 被 管 服务 器 端 都 安装 PcAnywhere 程序 。 实 现 服务 管理 后 ， 也 可 以 实现 服务 器 的 完全 控制 。 
虽然 麻烦 些 ， 但 是 相对 RemotelyAnywhere 却 显得 更 安全 。 
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6.4 项 目 实施 1: 使 用 51MyPC 轻松 管理 办 公 室 中 的 电脑 


51MyPC 软件 主要 是 为 商务 精英 及 SOHO 一 族 设计 的 ， 使 用 户 轻松 享受 远程 办 公 生 活 ， 由 于 
它 的 方便 、 快 捷 、 安 全 ， 完 全 可 以 应 用 于 远程 服务 器 管理 ， 特 别 是 网 络 管理 员 在 出 差 时 。 使 用 这 个 
软件 还 有 一 个 好 处 , 就 是 不 需要 记忆 被 管 设备 的 地 址 , 只 要 通过 其 官网 输入 为 被 管 设备 设 定 的 设备 
名 、 密 码 即 可 。 下 面 详细 介绍 51MyPC 的 使 用 方法 。 

1. 在 被 控制 的 计算 机 上 安装 51MyPC 

首先 需要 在 被 控制 服务 器 上 安装 51MyPC 软件 ， 具 体 的 操作 步骤 如 下 。 

0 运行 51MyPC 安装 程序 ， 弹 出 【欢迎 使 用 51MyPC 安装 程序 】 对 话 框 ， 单 击 【下 一 步 】 
按钮 ， 如 图 6-6 所 示 。 


国 ”次 迎 使 用 51MyPC 安装 程序 ! 


安装 程序 将 安装 51MyPC et Ps 请 单 
击 [ 职 消 ] 终止 安装 。 要 继续 安装 ， 请 单 击 [下 一 步 ]。 


警 省 : 议程 序 受到 版 权 法 和 国际 公约 的 保护 。 


未 经 授权 对 该 程序 ， 或 其 中 的 一 部 分 进行 复制 、 分 发 都 格 导 致 严 历 的 民事 
和 腊 序 处罚， 并 在 适 用 法 嫂 克 许 的 量 大 花 围 内 起 诉 。 


图 6-6 


W023 弹出 【目标 文件 夹 〗 对 话 框 ， 在 其 中 可 以 设置 安装 目录 ， 单 击 【 浏 览 〗 按 钮 更 改 目录 位 
置 ， 本 实例 采用 默认 配置 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 6-7 所 示 。 
| 


目标 文件 志 一 
请 过 择 一 个 文件 亚 ， 作 为 51MyPC 的 存放 位 置 国 


安装 程序 会 格 文 件 安装 在 下 面 的 文件 夷 中 。 
如 果 你 起 安装 51MyPC 到 不 同 的 文件 夹 中 ， 请 单 击 [浏览 ] 选择 另外 一 个 文件 严 。 


目标 文件 夹 


[Ee:\Prooram Files\S1MyPC 浏览 (B)..… 


需要 碰 条 空间 ; 4.86MB 
可 用 磁盘 空间 : 29.23GB 


—51MyPC 


图 6-7 
03) 弹出 【账户 信息 】 对 话 框 ， 在 其 中 配置 连接 账户 ， 客 户 端 通过 该 账户 即 可 远程 连接 服务 
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器 ， 人 【下 一 步 】 按 钮 ， 如 图 6-8 所 示 。 
=5Ix| 


2. 悠 可 用 此 EMai 莉 陆 51MyPC.com 管 理 远程 电脑 ， 


新 用 户 Email: 


图 6-8 


to 约 弹出 【电脑 信息 】 对 话 框 ,在 【计算 机 昵称 】 文 本 框 中 输入 远程 连接 时 显示 的 计算 机 名 ， 
本 实例 使 用 “serverl”， 单 击 【 网 络 配置 〗】 按 钮 ， 如 图 6-9 所 示 。 


帐户 信息 


计算 机 昵称 说 明 ; 


您 可 以 通过 不 同 的 计算 机 昵称 《 如 officePC ) 
来 区 分 和 管理 家 中 或 办 公 室 的 电脑 。 


(C) 2009 
北京 : 网 络 
科技 有 限 公司 


aawslmypccom 借用 说 明 | PR | 


图 6-9 


95) 弹出 【网 络 配置 〗 对 话 框 ， 在 其 中 可 以 设置 本 服务 器 联网 的 代理 服务 器 配置 ， 本 实例 采 
用 默认 配置 ， 单 击 【登陆 〗 按 钮 ， 如 图 6-10 所 示 。 
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十 向 
代理 设置 : 
帐户 信息 
ES 可 
电脑 信息 代理 服务 地 址 : 请 口号 : 
aa2620 Fa 
用 户 名 : 密码 


图 6-10 


J 


2. 在 控制 端 连接 被 控 服务 器 

当 客 户 机 想 连接 远程 已 安装 51MyPC 程序 的 服务 器 时 ， 需 要 登陆 该 程序 的 官网 进行 连接 ， 客 
户 端 远程 桌面 连接 服务 器 的 具体 操作 步骤 如 下 。 

LO 和 进入 51MyPC 官方 网 站 ， 单 击 首页 的 【登录 】 超 级 链接 ， 如 图 6-12 所 示 。 
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千里 眼 ， 顺 风 耳 
无 贡 再 担负 工 不 玫 生 长 二 大 机 密 ，S1MYPC 过 各 的 控 会 成 为 本 的 得 力 有 
TS © 


= permso0 


iss es 


产品 体验 企业 级 应 用 斤 erm 
返程 控制 新 体 粕 芭 | 了 解 更 多 © Pk pp 
TREE 


TT ew 


图 6-12 
to3 进入 客户 端 登 录 界 面 ， 在 【Email】〗 和 【密码 】〗 对 话 框 中 分 别 输入 服务 器 端 安装 程序 使 用 
的 邮箱 及 密码 ， 单 击 【 登 录 】〗 按 钮 ， 如 图 6-13 所 示 。 


ET 


ee seo 全 _ 


人 @Hhutong smewez NN at RhTE WEN SRR 关 于 NPE 


3 | 夸 册 
ji 
LD] aan 
和 网 拉 拉 市 中 性 全 知 要 | po ae 
Ss MyPC 直 是 个 的 天- mmamn 


SHO O Ne er een memeiim 


图 6-13 


3) 进入 【计算 机 管理 中 心 〗 页 面 ， 通 过 该 页 面 可 以 设置 远程 桌面 的 色彩 、 分 辩 率 、 声 音 、 
3D 效果 等 内 容 ， 本 实例 采用 默认 配置 ， 单 击 【 远 程控 制 〗 按 钮 ， 如 图 6-14 所 示 。 


PNA oe 一 


Hutong 远程 控制 专家 TF 腿 


计算 机 管理 中 心 


eo i 


Bl =" 
3 [Se [Tr Paoos 


色彩 、 分 辨 率 、 
声音 等 配置 


图 6-14 
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t@ 毕 进行 远程 控制 ， 需 要 有 控件 支持 ， 根 据 提示 页 面 的 操作 方法 ， 为 此 计算 机 安装 控件 ， 如 
图 6-15 所 示 。 


i 


Hutong sameuss 


ET CLT 


图 6-15 
05) 弹出 控件 安装 对 话 框 ， 单 击 【 安 装 】〗 按 钮 ， 如 图 6-16 所 示 。 


Internet Explorer 一 


— ww | 
外 条 
图 6-16 


06j 弹出 远程 桌面 连接 程序 ， 系 统 自动 验证 ， 并 建立 连接 ， 如 图 6-17 所 示 。 


正在 连接 远程 桌面 


图 6-17 


0 本 验证 连接 成 功 ， 弹 出 远程 主机 系统 登录 界面 ， 输 入 有 效 账户 及 密码 ， 单 击 【确定 】 按 钮 ， 
如 图 6-18 所 示 。 
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可 | wn >» 


远程 电脑 登录 框 


图 6-18 
8 登录 成 功 ， 进 入 远程 主机 桌面 ， 下 面 可 对 远程 主机 实施 管理 操作 ， 如 图 6-19 所 示 。 


EE 当当 呈 时 轩 加 4 
图 6-19 


6.5 项 目 实施 2: 使 用 RemotelyAnywhere 远程 管理 服务 器 


使 用 RemotelyAnywhere 工具 实现 服务 器 远程 管理 时 ， 需 要 考虑 管理 员 是 否 需 要 在 外 网 访问 。 
如 果 需 要 ， 必 须要 从 网 络 出 口 设备 上 得 到 此 设备 的 访问 地 址 做 NAT 地 址 转换 。 
下 面 详细 介绍 RemotelyAnywhere 工具 的 安装 及 应 用 方法 。 
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6.5.1 安装 RemotelyAnywhere 


通过 官方 网 站 , 可 以 获得 RemotelyAnywhere 最 新 版 本 的 安装 程序 。 其 具体 的 安装 操作 步骤 如 下 。 


iD 世 运行 RemotelyAnywhere 安装 程序 ， 在 弹出 的 对 话 框 中 单 击 【Next】 (下 一 步 ) 按钮 ， 如 
图 6-20 所 示 。 


RemotelyAnywhere 
Version 10.0.1086 
Windows 7/Vista/NT/2000/XP/2003/2008 
remote administration right from your 


browser 


http://remotelyanywhere,com 
info@remotelyanywhere.com 


Copyright © 1998-2010 LogMeln, Inc 


图 6-20 


02 弹出 【Terms and Conditions of Use】〗 (使 用 的 条 款 和 条 件 ) 对 话 框 , 单 击 【I Agree】〗( 我 
同意 ) 按钮 ， 如 图 6-21 所 示 。 


5 LogMeln Pron LogMein Prosm LogMein Rescue 
.ogMeIn® Rescue+Mobde™, LogMein Hamachi?, 
ogMel 


ceol | 


图 6-21 


toO3j 弹出 【Software options〗 (软件 配置 ) 对 话 框 ， 如 果 选 择 【Custom]】〗 ( 自 定义 ) 单 选 按 
钮 ， 可 以 手工 指定 软件 安装 配置 项 ， 本 实例 选择 【Typical〗 ( 典型) 单 选 按钮 ， 使 用 默认 配置 ， 
单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 6-22 所 示 。 


a 


市 
选择 【Typical] (和 典型) 单 选 按钮 


Lall _cancel_ | 


6-22 


94 弹出 【Choose Destination Location〗 ( 改变 目录 位 置 ) 对 话 框 ， 单 击 【Browse】〗 (浏览 ) 
按钮 可 以 改变 安装 目录 ， 本 实例 采用 默认 配置 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 6-23 所 示 。 


Folder E 


6-23 


四 5) 弹出 【Start copying files〗 (开始 复制 文件 ) 对 话 框 ， 显 示 已 配置 信息 ， 信 息 中 说 明 连 接 
服务 器 的 端口 为 “2000”， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 6-24 所 示 。 


人 
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t06j 弹出 【Install status〗 (安装 状态 ) 对 话 框 ， 系统 自动 安装 RemotelyAnywhere 程序 ， 如 图 
6-25 所 示 。 


mot elyAnyvhere 


Install status 
Setup is performing the requested action 


Installation 


Installing new services 


TIILILILLILLILLLLLLLLLILLIDU 


Back Next 


图 6-25 
I0 安装 完成 后 ， 弹 出 【Setup Completed〗 (安装 完成 ) 对 话 框 ， 对 话 框 中 标明 可 以 使 用 地 
址 “http://20110211-1604:2000” 和 “http://ipaddress:2000” 和 连接 服务 器 ， 单 击 【Finish】〗 ( 完成 ) 按 
钮 ， 如 图 6-26 所 示 。 


到 
Setup Completed 
Setup has finished installing RemotelyAnywhere on 
your computer, 
9g Start sb roobelyAry Where 


交大 
人 eps 010 8604, 2000 
ne 
Jaddress;2000 where ress is the 
address of your computer. 人 


Wher prompind for ooin eedentials; ertar en 
Administrator username and pa: 


图 6-26 


08j RemotelyAnywhere 安装 完成 之 后 需要 激活 ， 打 开 RemotelyAnywhere 运行 程序 ， 在 弹出 
的 对 话 框 中 单 击 【 请 单 击 此 处 以 激活 RemotelyAnywhere】〗 超 级 链接 ， 如 图 6-27 所 示 。 
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目 未 激活 RemotelyAnywhere 


已 六 xemotelyanyal ere 旧 沿 天 到 质 。 


BBN Remoielyanrabere, 
里 已 启用 RemotelyAnywhere 
emorehyanywhers SEE 2 和 , > 
年 过 便 用 正确 的 证 书 ， 您 可 以 更 肛 任何 Ws 浏览 器 在 以 也 单 击 此 处 激活 
» 20110211 1604 hw 2168.1.10012000) 
Pe 


Cepyright (C] 1998.2019 LosMeln, Ine. Al rights raserved. 


6-27 
toO9j 弹出 RemotelyAnywhere 激活 方式 选择 页 面 ， 可 以 选择 【我 已 是 RemotelyAnywhere 用 户 
或 已 具有 RemotelyAnywhere 许可 证 】〗 单 选 按钮 进行 激活 ， 也 可 以 选择 【我 希望 现在 购买 
RemotelyAnywhere】〗 在 线 激活 ， 本 实例 选择 【我 想 免费 试用 】〗 单 选 按钮 激活 试用 ， 单 击 【 下 一 步 ] 
按钮 ， 如 图 6-28 所 示 。 


这 尿检 回 201102ll-1604 - lnotelyhambers 


欢迎 使 用 RemotelyAnywhere 
软件 已， 但 从 须要 在 烙 Hi 计算 机 上 汪 活 。 


位 已 是 RemoloWinywhore 用 户 或 三 内 有 Remetalyhnywners 许 可 证 
人 委 关 望 现在 购买 RemolelyAnywhere 


从 雪 起 免费 试用 


图 6-28 


是 g 在 弹出 的 页 面 的 【电子 邮件 地 址 】 文 本 框 中 输入 激活 使 用 的 邮箱 地 址 ， 并 在 【产品 类 型 】 
列表 选项 中 选择 试用 产品 类 型 ， 本 实例 采用 “服务 器 版 ”， 单 击 【 下 一 步 】 按 钮 ， 如 图 6-29 所 示 。 


“123 。 


中 小 型 企业 网 络 管 理 实 训 汉典 一 一 基于 Windows 平台 


因 昌 在 弹出 的 页 面 中 依次 输入 指定 内 容 ， 单 击 【 下 一 步 】 按 钮 ， 如 图 6-30 所 示 。 


时 人 全 天 这 errcceiy arvwrene 苏 才 其 刘 行 这 天 ， 
的 ,生机 人 全 这 人 至 ie re。 公 委 二 宫 所 有 于 仙 ， 


上 一 
MN EE 斑 力 人 下 
计 轩 要 10: 


委 交 声明 玉生 各 语 可， Laohietn Ir 不合 亲 信 休 各 六 才思 共 作 折 人 了 匠人 1D 任何 个 人 借 息 。 半 局 ， 
gain inc 村 内 积 们 基本 中 生 卫 的 代 息 ，SL 开 生 “地精 ”任何 电子 天 任职 系 人 ， 


THT 
图 6-30 


加 2 RemotelyAnywhere 激活 成 功 ， 需 要 重新 启动 RemotelyAnywhere 程序 ， 单 击 【 重 新 启动 
REMOTELYANYWHERE]】 按钮 ， 如 图 6-31 所 示 。 


TOE mm 


Roe-1606 ~ fenetal yoyore 


人 RemoteyAnywhere 已 激活 


好 须 秆 亲自 动 Remoteiyanywhers 服务 ， 更 8 才 对 类。 


到 新 让 动 Remotsyanywhere 晤 和 可 能 需要 30 各。 关 击 比 括 机 
这 是 正常 的 。 等 村 30 种 ， 并 生出 浏览 和 中 的 “ 刷 九 ” 按 王 。 


二 ， 训 让 里 可 能 捧 千 你 请 训 的 古 而 不 可 用 . 


mn EE [iE 


图 6-31 
6.5.2 ”实时 监控 服务 器 性 能 


可 以 在 任何 远程 主机 中 使 用 浏览 器 监控 安装 了 RemotelyAnywhere 的 服务 器 ， 下 面 详细 介绍 如 
何 利用 该 工具 监控 远程 服务 器 。 
首先 用 户 需 要 登录 RemotelyAnywhere 管理 页 面 ， 具 体操 作 步 骤 如 下 。 


to 在 客户 端 主机 打开 I 下 浏览 器 ， 在 地 址 栏 中 输入 RemotelyAnywhere 安装 过 程 中 提示 的 地 
址 , 通用 格式 为 “http://{ 目 标 服务 器 ip| 主 机 名 | 域名 }:2000”, 本 实例 使 用 “http://192.168.1.100:2000” 
进行 讲解 。 在 弹出 的 页 面 中 选择 【Show advanced options >>】〗 (查看 高 级 选项 ) 按钮 ， 如 图 6-32 


-124 。 
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hew ahanced opions > 


[ CI Biemr [ET 
图 6-32 


虽 2 页 面 下 方 显示 出 高 级 选项 内 容 ， 在 【Select language】〗 (设置 语言 ) 列表 选项 中 选择 【中 
文 (简体 ) 〗 选 项 ， 如 图 6-33 所 示 。 


图 6-33 


tO3j 页 面 变 成 中 文 显示 ， 在 【用 户 名 】〗 和 【密码 】〗 文 本 框 中 输入 有 效 远程 管理 账户 的 信息 ， 
默认 使 用 administrator 账户 登录 ， 单 击 【和 登录】 按钮 ， 如 图 6-34 所 示 。 


中 小 型 企业 网 络 管 理 实战 全 典 基于 Windows 平台 


GO E+ 192 163 1 100 


诺 中 雪 天 。 加 benotelrinnhere 


Remotey 大 


三 windows 攻 证 


请 包 入 多 的 Wndows 用 户 和 和 宇多 
PS mmstaor 


Fm 


NTLM 对 全 用 妇 当 前 的 Wndows 登录 正 忆 未 共 让 引 针 主 
TE | 


厂 便 朋 ssL 确 办 全 话 全 


此 计算 机 沿 坟 设置 SSL 下 售 。 尽 兽 并 本 必 天 ， 但 应 使 用 129 和 SSL 加 空 来 保护 您 
的 RemoieyAnywhere 会 话 。 蛙 录 之 后 ， 计 和 到 安全 /SSL 设置 以 生 威 这 的 SSL 证 区 
开局 有 已 加 管家 伟 。 


和 霹 而 
直 拉 转 到 启程 他 制 人 
直入 于 到 “文件 传 荐 与 同步 ” 三 
生计 人 
其 男 而 ( 通用 干 风 擂 DHTML 的 济 虹 六 》 全 
依 污 界面 返 用 于 早期 所 让 的 器 芭 师 还 案 ) 个 


和 后 言 | 二 文 扣 他 | 司 


ET 


4 进入 RemotelyAnywhere 远程 管理 界面 ， 单 击 【 继 续 】 按 钮 进行 远程 服务 器 信息 查看 与 管 


理 ， 如 图 6-35 所 示 。 


GOOD mum Cl 


“EE 


RemotelyAnywhere 试用 - 还 判 30 天 
er 可 江 朋 当天。 克 用 师 加 风险 世 Aeroetvarvohers 本 下 从 0 攻取 上 了 ， 


ET :天 (有 汉 天 ? 


厂矿 厂矿 厂 厂 三 Po 


六 


图 6-35 


进入 RemotelyAnywhere 管理 界面 后 ， 左 侧 出 现 管理 功能 列表 ， 管 理 员 可 以 使 用 不 同 的 管理 功 


能 对 远程 服务 器 进行 多 功能 全 方位 的 管理 操作 。 
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1. 通过 控制 面板 快速 了 解 系统 信息 


进入 RemotelyAnywhere 后 ， 默 认 显示 【控制 面板 】 管 理 功能 页 面 ， 如 图 6-36 所 示 。 通 过 该 页 
面 可 以 快速 的 了 解 远程 服务 器 的 多 种 状态 、 信 息 ， 具 体内 容 如 下 。 


@ 系统 信息 : 显示 系统 版 本 、CPU 型 号 、 物 理 内 存 使 用 情况 、 总 内 存 ( 包括 虚拟 内 存 ) 使 用 
情况 、 系 统 已 启动 时 间 、 登 录 系 统 账户 。 

e@ 事件 : 显示 最 近 发 生 的 系统 事件 ， 默 认 显示 五 个 事件 。 

@ 进程 : 显示 进程 的 系统 资源 占用 情况 ， 默 认 以 CPU 占用 比例 为 序 ， 显 示 CPU 占用 最 多 的 

五 个 进程 。 

已 安装 的 修补 程序 : 最 近 安装 的 系统 补丁 ， 默 认 显 示 五 个 补丁 信息 。 

网 络 流量 : 动态 显示 网 络 流量 信息 。 

磁盘 驱动 器 : 所 有 分 区 的 空间 使 用 情况 。 

计划 的 任务 : 显示 最 后 执行 的 任务 计划 ， 默 认为 五 个 。 

最 近 的 访问 : 系统 最 近 访 问 记 录 。 

日 记 : 管理 员 可 在 此 区 域 编辑 管理 日 记 。 


图 6-36 


2. 远程 操控 服务 器 


选择 左 侧 列表 中 的 【远程 控制 】 选 项 ， 在 右 侧 窗 格 中 显示 了 远程 服务 器 的 界面 ， 通 过 该 窗 格 
可 以 利用 本 地 的 鼠标 、 键盘 、 显 示 器 直接 控制 远程 主机 。 在 窗 格 上 侧 有 部 分 工具 可 以 使 用 ,包括 颜 
色调 整 、 远 程 桌面 大 小 调整 等 ， 如 图 6-37 所 示 。 


中 小 型 企业 网 络 管 理 实战 富 典 基于 Windows 平台 


04 — RemotelyAnyrhere s Internet Erplorer 


加 hts ise. 168.1. 100:2000/main x 


况 20110211-1804 - Renotelyhnywhere 


7 控制 面板 
四 远程 控制 


而 而 天 
二 证 相机 从 理 


me sme me me lie me ee eee 
| 中 连接 警报 历史 记录 。 | 加 密 : 无 
| | |@ Internet [后 -[ 扩 105% - 扩 


3. 文件 管理 器 


选择 左 侧 列表 中 的 【文件 管理 器 】 选 项 ， 在 右 侧 窗 格 中 显示 了 本 地 和 远程 主机 的 资源 管理 器 ， 
在 两 个 资源 管理 器 中 可 以 随意 的 拖 电 文件 ， 以 实现 资料 互 传 ， 如 图 6-38 所 示 。 


Ge- 加 


园 20ll0zl1-1604 - kanotelyhayehere 


:上 XX 国 | 供 : -中 外国 本 | -区 中 


到 回 凶 lsc:\ 了 


> 3 人 项》 
信件 夹 》 2011-4 和 || 疡 信件 夷 >》 2011-4-11 


三 


并 本 和 和 营 理 
> 资料 的 相 


到 


[有 
;全 | 已 选择 2 个 文件 中 的 0 个 ,大 小 :0/0; 空间 11 
咕 程 - 20110211-1604] 正在 读 职 “6:\” 的 目录 列表 .加密 : 无 
大 Internet 奈 -[ 太 i105% - 


通过 该 功能 可 以 邀请 其 他 主机 对 远程 服务 器 进行 监控 。 一 般 当 管理 员 无 法 完成 一 些 操作 时 ， 
可 以 通过 该 功能 邀请 其 他 技术 人 员 帮 忙 解决 。 
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具体 的 操作 步骤 如 下 。 


ti 外 选择 左 侧 列表 中 的 【桌面 共享 】 选 项 ， 在 右 侧 窗 格 中 显示 了 实现 桌面 共享 的 操作 方法 。 


按照 提示 方法 右 击 桌面 状态 栏 的 程序 图 标 ， 在 弹出 的 快捷 菜单 中 选择 【Share my Desktop…】〗 ( 共 
享 我 的 桌面 ) 菜单 命令 ， 如 图 6-39 所 示 。 


注意 : 你 必须 在 来 到 按 芝 邀请 时 位 于 此 计算 机 术 ， 否 则 系统 插 卢 动 拒绝 可 访问 。 
您 是 否 知 道 … 
要 共 椰 你 的 必 面 ， 请 从 RemalslyAnywnere 系统 托 旬 中 选择 “条 面 共享 ”。 


anywhere 
openRematelyanrwhere web leerface 
Open Stahuc Window. 


一 一 一 一 全 一 


Sitch Off RemotelyAnywhere 


Convert Remete ronpol pecordng: 


W022 弹出 【桌面 共享 】 对 话 框 ， 选 择 【 廊 请 来 宾 与 您 一 起 工作 】〗 单 选 按钮 ， 单 击 【 下 一 步 】 
按钮 ， 如 图 6-40 所 示 。 


图 6-40 


03j 弹出 【邀请 详情 〗 对 话 框 ， 可 以 在 本 对 话 框 中 配置 邀请 名 ， 默 认 按 时 间 显 示 ， 方 便 以 后 
查看 ,还 可 以 设置 本 次 邀请 的 有 效 访问 时 限 ,， 在 最 后 一 个 文本 框 中 输入 被 邀请 人 连接 服务 器 使 用 的 
地 址 ， 全 部 选择 默认 配置 ， 单 击 【下 一 步 】 按 钮 ， 如 图 6-41 所 示 。 


中 小 型 企业 网 络 管 理 实战 富 典 -基于 Windows 平台 


入 请 详情 
请 在 下 面 铺 入 邀请 详情 


为 此 洲 请 辆 入 一 个 名 称 ， 以 便 以 后 可 以 引用 它 。 


指定 此 地 请 保持 开 训 的 期 限 - 
严 避 ps 习 

收 件 人 梅 如 何 对 此 计算 机 访问 RemotelyAnyvhere? 
hss //20110211-1604. howin. com:2000 


‘+ [TS mn 


图 6-41 


iQ 绰 弹出 【已 创建 邀请 〗 对 话 框 ， 在 文本 框 中 显示 了 被 邀请 人 获得 的 地 址 ， 可 以 通过 单 击 【 复 
制 〗 和 【电子 邮件 】 两 个 按钮 ， 让 被 邀请 人 获得 邀请 地 址 ， 单 击 【完成 】 按 钮 ， 完 成 本 次 邀请 ， 如 
图 6-42 所 示 。 


已 创建 敢 请 


您 的 各 请 已 外 建 完成 。 
悠 现在 可 以 格 下 面 显示 的 VRL 发 送 给 收 件 人 。 
e104 Borie oe 2000/ oa /2 Ot SS OT 


复制 单 击 可 以 将 六 请 复制 型 | 胸 贴 板 。 


电子 邮件 单 击 可 以 局 动 带 有 阅 请 的 电子 邮件 客户 端 。 


mm | 


图 6-42 


5. 聊天 功能 


在 左 侧 选 项 列表 中 选择 【聊天 】 选 项 ， 通 过 右 侧 窗 格 可 以 和 被 管 设 备 聊天 ， 一 般 被 管 设备 很 
少 有 人 在 ， 所 以 该 功能 用 的 比较 少 ， 如 图 6-43 所 示 。 


[S20110211-1604 - RemotelyAnyrhere En 本 ej 
GO- 加 hs wise 168.1.100 tig dj‘ x| 轿 5 际 就 0 道 OE 


认 路 同类 [加 20110211-1604 - hotaykarhere 
多 及 在 已 玉楼 。 要 过 行 科 天 ， 请 在 下 面 的 闻 积 中 输入 文本 六 单 击发 送 . 


三 厂矿 厂 人 人 Bem 后-[R1I05% - 太 


图 6-43 
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6. 计算 机 管理 

可 以 对 远程 服务 器 实现 用 户 管理 、 事 件 查看 器 、 服 务 、 进 程 、 驱 动 程序 、 注 册 表 编辑 器 等 多 
种 计算 机 管理 功能 。 下 面 分 别 做 介绍 。 

(1) 用 户 管理 

选择 左 侧 列表 中 的 【计算 机 管理 】=>【 用 户 管理 器 】 选 项 ， 在 右 侧 【用 户 管理 器 】 窗 格 中 显 
示 了 远程 服务 器 的 用 户 和 组 信息 ， 单 击 【添加 用 户 】 按 钮 可 以 为 远程 服务 器 增加 用 户 。 同 时 可 以 单 
击 用 户 名 对 其 进行 编辑 ， 如 图 6-44 所 示 。 


jn 


sO rE 


得 


用 户 名 广 释 
四 Wwars User 
管理 计算 机 ( 域 的 内 署 帐户 
供 来 宾 访问 计算 机 或 访问 城 的 内 置 帐户 


单 击 用 户 名 可 配 
置 其 属性 
[ [人 人 mw ss 
图 6-44 


(2) 事件 查看 器 
选择 左 侧 列 表 中 的 【计算 机 管理 】 六 【事件 查看 器 】 选 项 ， 在 右 侧 窗 格 中 显示 了 【事件 查看 
器 】 窗 格 ， 通 过 该 窗 格 可 以 查看 远程 服务 器 的 事件 信息 ， 如 图 6-45 所 示 。 
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图 6-45 
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(3) 服务 

选择 左 侧 列表 中 的 【计算 机 管理 】>【 服 务 】 选 项 ， 在 右 侧 窗 格 中 显示 了 【服务 】 窗 格 ， 通 
过 该 窗 格 可 以 查看 远程 服务 器 所 有 的 服务 项 ， 也 可 以 单 击 这 些 服务 项 进行 启动 、 禁 用 或 删除 操作 ， 
如 图 6-46 所 示 。 
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图 6-46 
(4) 进程 
查看 进程 的 具体 操作 步骤 如 下 。 
各 选择 左 侧 列表 中 的 【计算 机 管理 】〗】 关 【进程 〗 选 项 ， 在 右 侧 窗 格 中 显示 了 【进程 〗 窗 格 ， 通 
过 该 窗 格 可 以 查看 远程 服务 器 所 有 的 进程 项 ， 单 击 进程 PID 号 为 “1624” 的 进程 ， 如 图 6-47 所 示 。 


CE 
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图 6-47 


03 弹出 新 页 面 ， 显 示 出 进程 1624 的 进程 名 为 zhudongfangyu.exe， 同 时 还 显示 了 该 进程 的 
其 他 信息 ， 通 过 【优先 级 类 】 下 拉 莱 单 选项 可 以 调整 该 进程 的 优先 级 别 ， 为 需要 优先 执行 的 进程 做 
调整 ， 如 图 6-48 所 示 。 
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[E20110211-1604 - Resetelyhays 


her 


ETE 


过 类 关 ” 团 zotloell-leot - Renotelyheywhere /lI 


zhudongfangyu.exe 
立 加 | 全 | 


| [i 


说 明 - 360 主 动 防御 服务 模块 
版 本 -3.020002 1005 

进程 ID:1624 

葬 先 二 类 -| 正信。 加 


用 户 帐户 :NT AUTHORITYISYSTEN 
父 PlD:980 
区 名 :CIWINDOWSieystem32zueervices exe 


8.00 KB 


页 面 立 伞 使 用 情况 : 4 500 00 KB 
总 内 存 使 用 情况 : 15.052 00 KB 


(5) 注册 表 编 辑 器 


入-D 党 用 工具 \350 
(a80safeideepscanchudongiangyu ate 
应 用 | 返回 
加 | 
[miml ml ml ml Er [Er 
图 6-48 


选择 左 侧 列表 中 的 【计算 机 管理 】>【 注 册 表 编辑 器 】 选 项 ， 在 右 侧 窗 格 中 显示 了 【注册 表 
编辑 器 】 窗 格 ,通过 该 窗 格 可 以 查看 远程 服务 器 的 注册 表 信 息 , 但 是 默认 被 隐藏 的 注册 表 信息 无 法 
看 到 ， 如 【HKEY LOCAL MACHINE】 二 【SAM】 二 【SAM】 下 的 系统 账户 注册 表 信 息 ， 如 图 


6-49 所 示 。 
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(6) 命令 提示 
选择 左 侧 列表 中 的 【计算 机 管理 


图 6-49 


E】 关 【命令 提示 】 选 项 ， 在 右 侧 窗 格 中 显示 了 【命令 提示 】 


窗 格 , 通过 该 窗 格 可 以 使 用 命令 对 远程 服务 器 进行 操作 , 这 对 喜欢 使 用 命令 管理 的 管理 员 来 说 很 有 


中 小 型 企业 网 络 管 理 实 诚 委 典 基于 Windows 平台 


， 如 图 6-50 所 示 。 


加 nrmt "RN 


图 6-50 

(7) 重新 引导 
选择 左 侧 列表 中 的 【计算 机 管理 】 关 【重新 引导 】 选 项 ， 在 右 侧 窗 格 中 显示 了 【重新 引导 】 
窗 格 ,通过 该 窗 格 可 以 根据 需求 对 远程 服务 器 做 各 种 引导 操作 , 只 需要 单 击 指定 的 图 标 按钮 就 可 以 ， 
如 图 6-51 所 示 。 
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7. 计算 机 设置 
有 很 多 设置 项 可 以 通过 本 块 内 容 来 实现 ， 比 如 环境 变量 、 虚 拟 内 存 、 系 统 时 间 、 共 享 资源 等 ， 
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下 面 以 环境 变量 和 虚拟 内 存 的 设置 为 例 做 简单 介绍 。 

(1) 环境 变量 

选择 左 侧 列表 中 的 【计算 机 设置 】 关 【环境 变量 】 选 项 ， 在 右 侧 窗 格 中 显示 了 【环境 变量 】 
窗 格 ,通过 该 窗 格 可 以 修改 远程 服务 器 的 环境 变量 信息 ， 通 过 单 击 指定 环境 变量 选项 进行 调整 , 如 
图 6-52 所 示 。 


图 6-52 
(2) 虚拟 内 存 
选择 左 侧 列表 中 的 【计算 机 设置 】 关 【虚拟 内 存 】 选 项 ， 在 右 侧 窗 格 中 显示 了 【虚拟 内 存 】 
窗 格 ， 通 过 该 窗 格 可 以 修改 远程 服务 器 的 不 同 磁盘 驱动 器 提供 虚拟 内 存 的 数量 ， 建 议 不 要 选择 C 
盘 ， 总 量 设置 为 物理 内 存 的 1.5 倍 ， 单 击 【 应 用 】 按 钮 使 配置 生效 ， 如 图 6-53 所 示 。 
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8. 服务 器 功能 
通过 RemotelyAnywhere 还 可 以 进行 个 别 服务 器 的 配置 , 比如 FTP、 活动 目录 , 如 图 6-54 所 示 。 
不 过 一 般 不 建议 使 用 该 功能 。 


OO mm mm sl 到 
RE Do -ttoe - ble 图 | 
可 


业 FTP 配置 


[Ee ET EE 


图 6-54 
9. 计划 与 警报 
在 左 侧 选 项 列表 中 选择 【计划 与 警报 】 选 项 ， 该 选项 下 有 三 个 子 选 项 ， 分 别 是 :【 系 统 监视 和 
【 电子 邮件 警报 人 【任务 计划 程序 ]。 通 过 【系统 监视 】 选 项 可 以 配置 系统 状态 监视 信息 ， 还 可 以 
根据 监视 规则 设 定 警报 提示 ; 通过 【电子 邮件 警报 】 选 项 可 以 监视 系统 接收 的 电子 邮件 信息 ， 对 垃 
圾 邮件 等 有 安全 威胁 的 信息 提供 警报 提示 ; 通过 【任务 计划 程序 】 选 项 可 以 为 系统 配置 任务 计划 ， 
帮助 管理 员 完 成 常规 工作 ， 如 图 6-55 所 示 。 


O0000000000 


[ml ml ml ml ml Eb. 


图 6-55 
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动 器 与 分 区 信息 、 网 络 负载 等 十 几 项 。 下 面 对 部 分 性 能 信息 进行 介绍 。 


(1) CPU 负载 
在 左 侧 选 项 列表 中 选择 【性 能 信息 】 关 【CPU 负载 】 选 项 ， 在 右 侧 显示 【CPU 负载 】 窗 格 ， 
如 图 6-56 所 示 ， 该 窗 格 显示 了 CPU 的 使 用 图 表 ， 从 下 表 中 可 以 看 到 各 个 进程 的 CPU 使 用 情况 。 


图 6-56 
(2) 驱动 器 与 分 区 信息 
在 左 侧 选 项 列表 中 选择 【性 能 信息 】>【 了 驱动 器 与 分 区 人 信息】 选项， 在 右 侧 显示 【了 驱动 器 与 
分 区 信息 】 窗 格 , 该 窗 格 显示 了 远程 服务 器 磁盘 分 区 情况 及 各 个 分 区 的 状态 信息 。 可 以 单 击 指定 分 
区 进行 分 区 调整 ， 如 图 6-57 所 示 。 


6-57 
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11. 安全 设置 


通过 该 选项 可 以 为 远程 服务 器 配置 安全 设置 , 包括 : 访问 控制 、IP 地 址 锁定 、 卫 过 滤 、Windows 
密码 、SSL 设置 等 。 下 面 对 部 分 安全 设置 进行 介绍 。 

(1) 访问 控制 

在 左 侧 选项 列表 中 选择 【安全 】 关 【访问 控制 】 选 项 ， 在 右 侧 显示 【访问 控制 】 窗 格 ， 通 过 
该 窗 格 可 以 设置 部 分 访问 控制 内 容 ， 如 为 特定 用 户 指定 访问 权限 。 配 置 完成 后 单 击 【 应 用 】 按 钮 使 
之 生效 ， 如 图 6-58 所 示 。 


图 6-58 


(2) IP 地 址 锁定 

在 左 侧 选 项 列表 中 选择 【安全 】>【IP 地 址 锁定 】 选 项 ， 在 右 侧 显示 【了 JP 地 址 锁定 】 窗 格 ， 
通过 该 窗 格 可 以 对 非法 访问 远程 服务 器 的 地 址 进行 锁定 操作 ,通过 【拒绝 服务 过 滤器 】 和 【验证 攻 
击 过 滤器 】 两 项 来 完成 配置 .【 拒 绝 服务 过 滤器 】 根 据 对 服务 器 HTTP 无 效 请 求 数 进行 IP 地 址 锁定 ， 
【验证 攻击 过 滤器 】 根 据 对 服务 器 无 效 验 证 数 进行 IP 地 址 锁定 ， 超 出 阔 值 的 按照 规定 时 间 锁 定 地 
址 ， 如 图 6-59 所 示 。 
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(3) 全 过 滤 
在 左 侧 选 项 列表 中 选择 【安全 】>【]IP 过 滤 】 选 项 ， 在 右 侧 显示 【IP 过 滤 】 窗 格 ， 通 过 单 击 
右 侧 窗 格 的 【添加 】 按钮 ， 可 以 为 远程 服务 器 添加 IP 过 滤 策 略 ， 选 择 配 置 好 的 配置 文件 ， 单 击 【 使 
用 配置 文件 】 按 钮 ， 可 以 使 该 项 PP 过 滤 策 略 生效 ， 如 图 6-60 所 示 。 


可 以 在 此 有 妥 本 村 六 皇 计 侈 放生 拓 全 未 站 开 款 六 gf 接 。 要 人 肝 和 宙 立信， 寺庙 轩 六 伯 和 祭 江 间 击 -证 加 ”- 要 哆 如 
CT nn 


图 6-60 


6.6 专家 答疑 


(1) 远程 服务 器 管理 时 ， 如 果 管 理 信息 需要 通过 互联 网 ， 应 当 如 何 保证 安全 ? 

答 : 一 部 分 服务 器 都 会 在 企业 内 部 使 用 ， 网 络 管理 员 访 问 的 时 候 只 要 保证 服务 器 主机 安全 ， 
并 且 在 网 络 设备 上 做 好 访问 控制 就 可 以 基本 保证 服务 器 安全 了 。 但 是 如 果 服 务 器 在 远程 IDC 机 房 
托管 , 或 者 网 络 管理 员 在 外 出 差 办 公 需 要 连接 管理 内 网 服务 器 时 , 网 络 服务 器 管理 信息 会 在 公共 互 
联网 上 传递 ， 很 容易 被 窃取 。 

这 类 安全 问题 一 般 可 以 通过 需要 管理 端 和 被 管 服务 器 端 进行 严格 认证 的 服务 器 管理 程序 来 完 
成 , 这样 普通 网 络 用 户 没有 有 效 的 认证 权限 ， 就 无 法 借 此 攻击 服务 器 ， 不 过 其 他 合法 的 访问 信息 还 
是 会 暴露 在 互联 网 上 ， 依 然 无 法 确保 安全 。 

相 比 之 下 ，VPN 技术 是 一 项 更 好 的 互联 网 通信 技术 ， 网 络 管理 员 在 进行 远程 服务 器 管理 时 如 
果 跨 域 互联 网 ， 可 以 在 两 端 使 用 VPN 技术 互联 , 然后 让 信息 在 VPN 虚拟 专用 网 中 传输 ， 以 确保 管 
理 信息 的 安全 加 密 和 完整 性 校 验 。 

(2) 如 果 需 要 管理 的 远程 服务 器 比较 多 ， 不 方便 记忆 怎么 办 ? 

答 : 远程 管理 服务 器 时 ， 服 务 器 的 地 址 可 以 配置 对 应 的 域名 ， 域 名 在 定义 时 可 以 定义 方便 记 
忆 的 名 称 ， 这 样 可 以 减少 不 方便 记忆 的 麻烦 。 
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网 络 流量 监测 分 析 是 指 捕捉 并 分 析 网 络 中 传输 的 数据 包 ， 通 过 它 可 以 掌握 网 络 运行 状况 ， 有 
效 帮 助 网 络 管理 人 员 快 速 准确 定位 故障 点 ， 快 速 排查 网 络 故障 ， 从 而 提高 网 络 性 能 ， 降 低 网 络 安全 
风险 ， 增 大 网 络 可 用 性 价值 ， 确 保 整个 网 络 的 持续 可 靠 运行 。 


7.1 网 络 流量 分 析 的 意义 


网 络 流量 监测 分 析 的 主要 作用 是 通过 连续 地 采集 网 络 中 的 数据 包 进 行 分 析 ， 帮 助 网 络 管理 员 
深入 了 解 网 络 的 运行 状况 ， 发 现 网 络 中 出 现 的 问题 ， 从 而 保证 网 络 的 服务 质量 。 

通过 对 网 络 流量 的 分 析 ， 网 络 管理 员 可 以 详细 地 了 解 网 络 的 运行 状况 。 网 络 中 的 各 种 应 用 在 
运行 的 时 候 , 每 一 个 数据 访问 ,每 一 个 数据 传输 都 要 通过 网 络 进行 ,通过 分 析 网 络 数据 包 ， 可 以 清 
晰 地 了 解 应 用 程序 的 运行 规律 ,从 而 帮助 网 络 管理 员 更 好 地 管理 网 络 中 的 各 种 应 用 程序 。 同 时 网 络 
中 的 每 一 个 用 户 的 网 络 行为 也 都 会 影响 到 网 络 中 的 其 他 用 户 甚至 整个 网 络 的 运行 。 每 个 用 户 的 网 络 
行为 都 会 产生 网 络 流量 ， 通 过 对 这 些 流 量 进行 分 析 ， 可 以 清晰 地 检测 到 每 个 用 户 的 具体 网 络 行为 ， 
从 而 更 好 地 对 网 络 用 户 进行 管理 。 

通过 对 网 络 流量 的 分 析 ， 网 络 管理 员 可 以 及 时 发 现 网 络 出 现 的 问题 。 任 何 的 网 络 异 常 ， 比 如 
网 络 用 户 的 计算 机 感染 了 蠕虫 病毒 、 中 了 后 门 程序 等 ， 都 会 产生 异常 的 数据 包 , 通过 对 数据 包 的 长 
期 分 析 就 能 及 时 发 现 网 络 用 户 的 异常 行为 ， 从 而 提高 解决 问题 的 效率 。 

网 络 流量 分 析 建 立 在 深入 了 解 网 络 的 基础 之 上 ， 通 过 对 网 络 数据 包 的 深入 分 析 ， 及 时 发 现 网 
络 流量 中 的 异常 数据 包 ， 可 以 帮助 网 络 管理 员 及 时 解决 网 络 故障 ， 提 高 网 络 运行 效率 。 


7.2 主流 产品 技术 介绍 


要 进行 网 络 流量 分 析 监 测 ， 除 了 要 掌握 扎实 的 网 络 基础 知识 外 ， 还 必须 使 用 网 络 数据 包 噢 探 
工具 。 通 过 网 络 数据 包 噢 探 工具 捕 提 网 络 中 的 数据 包 ， 然后 对 其 进行 分 析 。 现在， 主流 的 网 络 数据 
包 嗅 探 工具 有 Sniffer Pro 网 络 嗅 探 工 具 和 科 来 网 络 分 析 系 统 等 。 


7.2.1 Sniffer Pro 网络 嗅 探 工具 概述 


Sniffer Pro 网 络 噢 探 工具 是 目前 最 为 流行 的 网 络 噢 探 工 具 之 一 。Sniffer 的 主要 功能 是 捕获 网 络 
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数据 ， 在 大 量 的 数据 包 中 找到 自己 关心 的 数据 包 ， 然 后 分 析 解 决 问题 。 通 过 使 用 Sniffer 嗅 探 工具 ， 
网 络 管理 员 可 以 判断 在 某 个 时 间 网 络 中 的 某 个 主机 使 用 网 络 的 具体 行为 , 比如 该 主机 接收 了 多 少数 
据 包 、 发 送 了 多 少数 据 包 、 正 在 访问 什么 网 站 等 信息 ， 也 可 以 判断 整体 网 络 的 运行 情况 ， 比 如 当前 
网 络 中 运行 了 什么 协议 、 哪 个 协议 占用 带宽 过 大 、 现 在 网 络 带 宽 使 用 率 是 多 少 等 。 因 此 ，Sniffer 
可 以 帮助 管理 员 解决 很 多 隐形 的 网 络 故障 。 

选择 Sniffer 的 安装 位 置 非 常 重 要 ， 因 为 Sniffer 只 能 捕捉 到 它 所 监听 的 网 卡 接收 到 的 数据 包 ， 
因此 在 不 同 的 网 络 拓扑 环境 中 ，Sniffer 的 安装 位 置 不 同 。 现在 的 网 卡 都 有 一 个 数据 包 识别 功能 ,就 
是 当 网 卡 接收 到 一 个 数据 包 的 时 候 , 会 智能 判断 该 数据 包 是 不 是 发 送 给 自己 , 只 有 当 判 定 该 数据 包 
是 发 给 自己 的 时 候 才 会 接收 该 数据 包 。 如 果 要 实现 Sniffer 监听 网 络 数据 包 ， 必 须 将 网 卡 处 于 “ 混 
杂 模 式 ”， 所 谓 混 杂 模 式 就 是 网 卡 可 以 接收 所 有 发 送 给 自己 的 数据 包 ， 不 考虑 该 数据 包 中 的 目的 地 
址 是 不 是 自己 。 下 面 详细 讲解 在 不 同 的 网 络 环境 中 ，Sniffer 的 安装 位 置 。 

集线器 所 连接 的 网 络 被 称 之 为 共享 式 以 太 网 ， 共 享 式 以 太 网 中 的 数据 通信 依靠 广播 来 完成 ， 
因此 只 要 将 主机 的 网 卡 设 为 混杂 模式 , 也 就 意味 着 网 络 中 的 任何 一 个 主机 网 卡 都 可 以 接收 到 网 络 中 
的 所 有 数据 包 。 在 安装 Sniffer Pro 的 计算 机 上 ， 计 算 机 的 网 卡 会 自动 变 成 混杂 模式 。 在 集线器 所 连 
接 的 以 太 网 中 ，Sniffer 的 安装 位 置 如 图 7-1 所 示 。 


C Intemet ) 


安装 sniffer pro 流 量 
企业 内 网 客户 机 监测 系统 的 主机 


图 7-1 


交换 机 所 连接 的 网 络 被 称 之 为 交换 式 以 太 网 ， 交 换 式 以 太 网 中 的 数据 通信 是 点 到 点 通信 ， 网 
络 中 的 每 个 主机 只 接收 发 送 给 自己 的 数据 包 。 在 交换 式 以 太 网 中 ， 要 想 让 Sniffer 能 够 监听 到 网 络 
中 所 有 的 数据 包 ， 有 以 下 两 种 方法 。 


(1) 在 以 太 网 中 ,如 果 使 用 的 是 网 管 级 交换 机 连接 路 由 器 去 连接 互联 网 ， 要 想 让 Sniffer 监听 
到 内 部 局 域 网 和 外 部 互联 网 的 通信 情况 , 可 以 在 网 管 级 交换 机 上 配置 端口 镜像 ， 并 将 网 络 设备 的 出 
口 设置 为 目的 端口 ,然后 将 Sniffer 安装 在 连接 在 该 端口 的 计算 机 上 , 就 可 以 监听 到 整个 网 络 , Sniffer 
的 安装 位 置 如 图 7-2 所 示 。 
镜像 一 般 是 将 符合 制定 规则 的 报 文 复制 到 镜像 目的 端口 。 镜 像 目的 端口 一 般 会 接 入 数据 检测 
设备 ,用 户 利用 这 些 设备 对 镜像 过 来 的 报 文 进行 分 析 ， 从 而 进行 网 络 监 控 和 故障 排除 等 。 所 谓 端口 
镜像 就 是 把 交换 机 一 个 或 多 个 端口 VLAN) 的 数据 镜像 到 一 个 或 多 个 端口 的 方法 。 一 般 情况 下 ， 


.141 。 


中 小 型 企业 网 络 管 理 实战 军 典 基于 Windows 平台 


在 这 种 以 太 网 中 为 了 实现 对 整个 网 络 数据 的 监听 , 将 交换 机 连接 路 由 器 (公司 连接 互联 网 用 的 路 由 
器 ) 的 端口 映射 为 Sniffer 所 在 计算 机 连接 的 端口 。 需 要 注意 的 是 ,不 一 样 的 交换 机 设置 方法 不 同 ， 
这 里 简单 介绍 下 Cisco 交换 机 端口 镜像 设置 方法 。 


Router#configure terminal 

// 进 入 全 局 配置 模式 

Router(config)#monitor session 2 source interface g1/0/1 
// 指 定 端口 镜像 进程 和 侦 听 源 端口 (g1/0/1) 
Router(config)#monitor session 2 destination g1/0/2 
/指定 端口 镜像 进程 和 侦 听 目标 端口 〈g1/0/2 

Sniffer 的 安装 位 置 如 下 图 。 


《 et 
“对 镜像 端口 


a 


安装 sniffer pro 
流量 监测 系统 


网 管 级 交换 机 一 7 


企业 内 网 客户 机 


图 7-2 


(2) 在 以 太 网 中 ， 如 果 使 用 的 是 交换 机 连接 代理 服务 器 连接 以 太 网 的 方式 ， 则 在 这 种 网 络 拓 
扑 结构 中 ， 内 部 局 域 网 所 有 的 数据 包 ， 可 以 将 Sniffer 安装 在 代理 服务 器 (代理 内 部 局 域 网 访问 互 
联网 的 主机 ) 上 。Sniffer 的 安装 位 置 如 图 7-3 所 示 。 


C Internet 、 


安装 sniffer pro 流 量 监 
测 系统 的 代理 服务 器 


企业 内 网 客户 机 


图 7-3 
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7.2.2 ” 科 来 网 络 分 析 系 统 概况 


科 来 网 络 分 析 系 统 是 一 个 集 数 据 包 采集 、 解 码 、 协 议 分 析 、 统 计 、 图 表 、 报 表 等 多 种 功能 为 
一 体 的 综合 网 络 分 析 平 台 。 它 可 以 帮助 网 络 管理 员 排 查 网 络 安全 隐患 、 网 络 流量 监控 、 定 位 网 络 故 
障 。 

与 Sniffer Pro 噢 探 工 具 不 同 , 科 来 网 络 分 析 系 统 是 由 中 国人 自主 研发 , 并 拥有 全 部 知识 产权 的 
网 络 分 析 产 品 。 它 为 网 络 管理 工作 提供 了 全 面 可 靠 的 数据 依据 ， 可 以 帮助 用 户 排查 网 络 故 障 、 规 避 
网 络 风险 、 提 升 网 络 性 能 、 提 高 故障 处 理 能 力 、 减 少 故 障 损失 并 降低 管理 成 本 ， 所 以 ， 科 来 网 络 分 
析 系 统 是 网 络 管理 中 的 必 备 产品 。 

科 来 网 络 分 析 系 统 能 够 让 网 络 管理 者 在 遇 到 各 种 网 络 问题 的 时 候 ， 轻 松 找到 解决 办 法 ， 对 网 
络 中 监测 到 的 数据 进行 分 析 、 诊断 , 从 而 帮助 网 络 管理 人 员 及 时 排除 网 络 故障 , 规避 网 络 安全 风险 ， 
提高 网 络 性 能 。 

使 用 科 来 网 络 分 析 系统 ， 网 络 管理 者 不 用 再 担心 遇 到 网 络 故障 无 法 解决 ， 因 为 科 来 网 络 分 析 
系统 成 熟 的 数据 包 分 析 机 制 可 以 帮助 企业 把 网 络 故障 和 安全 风险 降 到 最 低 , 网 络 性 能 会 逐步 得 到 提 
升 。 总 体 上 来 说 ， 科 来 网 络 分 析 系 统 可 以 帮助 管理 员 快 速 的 查找 和 排除 网 络 故障 ， 及 时 地 解决 网 络 
瓶颈 提升 网 络 性 能 ， 并 且 能 够 分 析 各 种 网 络 协议 ， 从 而 更 好 的 管理 资源 ， 提 高 网 络 应 用 质量 。 

科 来 网 络 分 析 系 统 整合 了 行业 领先 的 专家 分 析 技 术 ， 对 当前 复杂 的 网 络 提供 精确 分 析 ， 在 网 
络 安全 、 网 络 性 能 、 网 络 故 障 方面 提供 最 全 面 和 最 深入 的 数据 依据 ， 是 企业 、 政 府 、 学 校 等 网 络 管 
理 所 需 要 的 关键 性 产品 。 


7.3 项 目 实施 1: 科 来 网 络 分 析 系 统 的 安装 与 使 用 


科 来 网 络 分 析 系 统 和 Sniffer Pro 一 样 , 安装 位 置 特别 重要 , 应 该 安装 在 网 络 的 节点 处 以 便 能 够 
捕获 到 需要 的 数据 包 , 可 根据 上 文中 Sniffer Pro 的 讲解 选择 科 来 网 络 分 析 系 统 的 安装 位 置 。 下 面 介 
绍 科 来 网 络 分 析 系统 的 安装 与 使 用 方法 。 


7.3.1 安装 科 来 网 络 分 析 系 统 
安装 科 来 网 络 分 析 系 统 的 具体 操作 步骤 如 下 。 


0 各 双击 科 来 网 络 分 析 系 统 安装 文件 ， 弹 出 【欢迎 您 使 用 科 来 网 络 分 析 系统 2010 技术 交流 版 
安装 程序 〗 对 话 框 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 7-4 所 示 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


古 百 站 
欢迎 您 使 网 络 2010 
来 且 和 者 虹 人 全 


本 程序 格 安装 再 2010 技术 交流 版 
Guila 2528) 到 禾 的 i1 


强烈 建议 您 在 继续 实 : 人 
序 ， 以 沟 免 安装 过 程 中 可 能 产生 的 相互 冲 : 


请 单 击 “ 下 一 步 ”继续 ,或 “取消 ”退出 安装 。 


加 


图 7-4 


I02 弹出 【使 用 许可 协议 】〗 对 话 框 ， 选 择 【 我 接受 本 协议 】 单 选 按钮 ， 单 击 【 下 一 步 〗 按 钮 ， 
如 图 7-5 所 示 。 


但 安装 - 科 来 网 络 分 析 系 统 2010 技术 交流 知 


使 用 许可 协议 
在 继续 安装 之 前 ,请 阅读 下 面 的 重要 信息 。 


请 仔细 阅读 下 面 的 使 用 许可 协议 。 悠 接受 本 协议 才能 继续 安装 。 
来 网 络 分 析 系统 2010 最 终 用 户 使 用 许可 协议 -- 2010 年 E| 


(e) 2001 - 2010 科 来 软件 版 权 所 有 保留 所 有 权利 


本 协议 是 您 (个 人 或 单一 实体 ) 与 成 都 科 来 软件 有 限 公司 之 间 关 于 使 用 科 来 
网 络 分 析 系 统 的 法 律 协 议 ， 请 认真 阅读 。 


| 本 协议 适用 于 科 来 网 络 分 析 系统 -~ 技术 交流 版 。 软 件 包 括 计 算 机 软件 ， 并 
可能 包括 与 之 相关 的 媒体 和 任何 的 印刷 材料 ， 以 及 联机 的 电子 文档 (F ”到 
c Re 


《上 - 步 四 取消 


图 7-5 
信息 〗 对 话 框 ， 显 示 科 来 网 络 分 析 系 统 更 新 信息 ， 单 击 【 下 一 步 】〗 按 钮 ， 如 图 7-6 


但 安装 - 科 来 网 络 分 析 系 统 2010 技术 交流 版 fel 


信息 
在 继续 安装 之 前 ， 请 先 阅读 下 面 的 重要 信息 . 


准备 好 后 ,请 单 击 “ 下 一 步 ”。 
| 科 来 网 络 分 析 系 统 版 本 更 新 提示 一 2010 年 


Lb 


(e) 2001-2010 科 来 软件 版 权 所 有 保留 所 有 权利 


增加 e02 11x 无 线 协议 识别 和 解码 ; 


改进 


提 立 灿 反 志气 站 声 ， 和 站 了 了 用 [ 枉 调 阳 已 一 志 zb 到 


‘ts [FSm>] mW | 
图 7-6 
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tO 毕 弹出 【选择 目标 文件 夹 〗 对 话 框 ， 可 以 单 击 【 浏 览 〗 按 钮 自 定义 安装 路 径 ， 本 实例 采用 
默认 路 径 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 7-7 所 示 。 


但 安装 - 科 来 网 络 分 析 系统 2010 技术 交流 赢 =|Glxl 
选择 目标 文件 夹 ~ 
您 起 要 将 科 来 网 络 分 析 系 统 2010 技术 交流 版 安装 到 哪里 了 人 


安装 程序 格 安装 科 来 网 络 分 析 系统 2010 技术 交流 版 到 以 下 文件 买 。 


有 请 单 击 “ 下 一 步 ”。 如 果 悠 起 要 格 程序 安装 到 其 他 文件 来， 请 单 


安装 本 软件 至 少 需要 57.3 是 磁盘 空间 。 
《上 一步 四 取消 
图 7-7 


5) 弹出 【选择 组 件 〗】 对 话 框 ， 默 认 选 择 安装 所 有 组 件 ， 单 击 【 下 一 步 】 按 钮 ， 继 续 安装 科 
来 网 络 分 析 系统 ， 如 图 7-8 所 示 。 


但 安装 - 科 来 网 络 分 析 系统 2010 技术 交流 版 =jlGjxj 


思 择 组 伯 
您 想 要 安装 哪些 组 件 ? (ep 


at 清除 您 不 想 安装 的 组 件 。 礁 备 好 后 请 单 击 “ 下 一 步 ” 


科 来 网 络 分 析 系统 


网 络 工具 集 
回 wwc 地 址 扫描 器 2.2 有 
PineI 具 0.6 MB 
回 数 据 包 播 放 器 0.5 MB 
回 数据 包 生 成 器 1.1 0 


当前 选择 至 少 需要 61.5 中 剩余 磁盘 空 间 。 
ww | 
图 7-8 
W086)] 弹出 【选择 开始 菜单 文件 夹 〗 对 话 框 ， 可 以 单 击 【 浏 览 〗 按 钮 自 定义 科 来 网 络 分 析 系 统 
的 快捷 方式 安装 路 径 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 7-9 所 示 。 


中 小 型 企业 网 络 管 理 实战 富 典 基于 Windows 平台 


但 安装 - 科 未 网 络 分 析 系统 2010 技术 交流 版 EE 
选择 开始 菜单 文件 夫 
将 程序 


修 想 的 快捷 方式 放置 在 哪里 了 


安装 程序 格 在 以 下 开始 菜单 文件 天 中 他 陵 程 序 的 快捷 方式 。 


FF “下 一 步 ”。 加 果 烙 起 选择 一 个 不 同 的 开始 荣 单 文件 严 ， 


训 览 四 


< 上 -- 步 四 ) 取消 


图 7-9 


0 本 弹出 【选择 附加 任务 】 对 话 框 ， 选 择 【 创 建 桌 面 图 标 〗 和 【创建 快速 启动 图 标 】 复 选 框 ， 
单 击 【下 一 步 〗 按 钮 ， 如 图 7-10 所 示 。 


个 安装 - 科 来 网 络 分 析 系 较 2010 技术 交流 版 


=5|xl 
连 择 附加 任务 全 
悠 想 要 运行 哪些 附加 任务 ? Kap 


和 2010 技术 交流 版 期 间 执行 的 附加 任 
附加 图 标 

区 

灰 创 妇 快速 启动 图 标 @) 


7 7 | 
图 7-10 


8] 弹出 【准备 安装 】 对 话 框 ， 显示 了 科 来 网 络 分 析 系 统 的 安装 信息 ,确认 无 误 后 ， 单 击 【 安 
装 〗 按 钮 ， 如 图 7-11 所 示 。 


但 安装 - 科 来 网络 分 析 系 抠 2010 技术 交流 需 


ESjzl 
礁 备 安装 
分析 系 线 2010 技术 交流 版 安装 到 必 的 计 
单 击 “安装” 开始 进行 安装 ,或 单 击 “ 上 一 步 ”返回 查看 /更 收 上 一 处 设置 。 
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0Q9j 科 来 网 络 分 析 系 统 安装 正在 继续 ， 并 显示 安装 进度 ， 如 图 7-12 所 示 。 


jgj 安装 的 过 程 中 会 弹出 【1 


钮 ， 如 图 


1 


但 安装 - 科 来 网 络 分 析 系 纺 2010 技术 变 流 卢 
正在 安装 
ee 科 来 网 络 分 析 系统 2010 技术 交流 版 到 个 的 计算 机 中 ， 请 稍 


正在 解压 缩 文件 
C:\Program Files\Colesoft CSHAS 2010 Technology Edition\CSIEDISS2. dll 


图 7-12 


息 】 对 话 框 ， 显 示 科 来 网 络 分 析 系 统 信息 ， 单 击 【 下 一 步 〗 按 


7-13 所 示 。 


个 安装 - 科 来 网 络 分 析 系 撤 2010 技术 交流 版 


信息 
在 安装 结束 之 前 ， 请 先 阅 志 下 面 的 重要 信息 。 


准备 好 后 ,请 单 击 “ 下 一 步 ”。 


内 来 网 络 分 析 系统 2010 -- 2010 年 习 
(Ge) 2001 ~ 2010 科 来 软件 版 权 所 有 保留 所 有 权利 


|* 关于 科 来 网 络 分 析 系 统 2010 
|* 系统 要 求 
| 产品 安装 
| 产品 和 载 


-acerhao art 到 


图 7-13 
单 击 【 完 成 〗】 按 钮 ， 结 束 科 来 网 络 分 析 系 统 的 安装 ， 如 图 7-14 所 示 。 


个 安装 - 科 来 同 络 分 析 系 统 2010 技术 交流 了 = 上 | 习 
完 网 络 分 析 系 统 2010 技术 交流 
和 来 


科 来 网 络 分 析 系 统 2010 技术 交流 版 已 在 您 计算 机 中 安 
装 元 毕 。 您 可 以 选择 已 安装 好 的 程序 图 标 晤 动 芒 程序 。 
单 击 “ 完 成 ”结束 安装 。 


忆 之 即 孤 行 专用 程序 


《< 上 二- 步 四 


图 7-14 
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加 色 选择 【开始 〗>【 所 有 程序 】>【 科 来 网 络 分 析 系 统 2010 技术 交流 版 】〗】>【 科 来 网 络 分 
析 系 统 2010 技术 交流 版 】 莱 单 命令 ， 打 开 科 来 网 络 分 析 系 统 。 在 【用 户 名 】 和 【公司 】 文 本 框 中 
分 别 输 入 用 户 名 和 公司 信息 ， 本 实例 中 输入 用 户 名 为 “sushi”， 公 司 为 “howin”， 在 【序列 号 】 
文本 框 中 输入 科 来 网 络 分 析 系统 的 序列 号 ， 序 列 号 可 以 通过 单 击 【点 击 这 里 获取 序列 号 】 超 链接 在 
线 获得 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 7-15 所 示 。 


舍 科 来 同 络 分 析 系 统 2010 技术 交流 版 - 产品 激活 向 营 


请 选择 一 种 激活 方式 并 点 击 下 一 步 释 乱 ， 如 果 有 任何 问题 请 联系 
re i 


个 在 栈 激 活 (推荐 ) 
个 通过 传真 或 电子 邮件 洲 活 (在 两 个 工作 日 之 内 处 理 ) 


TEU Sv ww | ww | 
图 7-15 
民 双 | 弹出 【请 阅读 以 下 重要 信息 〗 对 话 框 ， 在 其 中 显示 了 科 来 网 络 分 析 信息 激活 信息 ， 单 击 
【下 一 步 】〗 按 钮 ， 激 活 科 来 网 络 分 析 系 统 ， 如 图 7-16 所 示 。 


合 科 来 网 络 分 析 系 撤 2010 技术 交流 版 - 产品 激活 向 学 


te 
一 台 荫 务 器 《或 PC 上 ) 。 EN 

各 半 导 妆 活 产品 时 ， 相 机 的 个 人 信 自 村 不 会 发 结 和 多 件 ， 
8 ,你 和 要 向 我 们 提供 的 


《上 - 步 四 7 。 了 弄 助 | 
图 7-16 
型 汉 科 来 网 络 分 析 系统 激活 成 功 ， 单 击 【完成 】 按 钮 ， 如 图 7-17 所 示 。 
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激活 产品 成 功 ! 


< soCB mw |_ ww | 
图 7-17 
加 5 完成 激活 后 ， 自 动 打开 科 来 网 络 分 析 系 统 程序 主 界面 ， 至 此 科 来 网 络 分 析 系统 安装 并 激 
活 完成 ， 如 图 7-18 所 示 。 


NR 季 二 人 商 丰 eo 间作) 


SS Sy Douue OF oun 


7.3.2 ”设置 过 滤器 


默认 情况 下 ， 科 来 网 络 分 析 系 统 捕捉 网 卡 监听 到 的 所 有 数据 包 ， 由 于 每 次 捕捉 到 的 数据 包 量 
比较 大 , 不 利于 提高 分 析 效 率 。 而 过 滤器 就 是 对 捕 提 到 的 数据 包 进 行 过 滤 , 通过 设置 数据 包 过 滤器 
可 以 减少 捕捉 到 的 数据 包 的 数量 ， 减 少数 据 包 分 析 时 间 ， 提 高 数据 包 分 析 效 率 ， 从 而 加 快 解决 网 络 
故障 的 速度 。 

设置 过 滤器 的 具体 操作 步骤 如 下 。 

td 选择 【开始 】>【 所 有 程序 】>【 科 来 网 络 分 析 系 统 2010 技术 交流 版 〗>【 科 来 网 络 分 
析 系 统 2010 技术 交流 版 】 莱 单 命令 ,打开 科 来 网 络 分 析 系 统 ， 选 择 监听 网 卡 【 本 地 连接 】 复 选 框 ， 
单 击 右 侧 【 设 置 捕 扣 过 滤器 】〗 选 项 ， 如 图 7-19 所 示 。 
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中 小 型 企业 网 络 管 理 实 战 泽 典 一 一 共 于 Windows 平台 


= 利 来 辣 绢 分 析 系 妩 c2010 技 本 区 沪 版 在 0 节点 ) -ax 
局 ht snd 关于 EE 


四 2 弹出 【过 滤 】 对 话 框 , 默认 情况 下 没有 设置 过 滤器 ， 则 监听 所 有 数据 包 ， 如 图 7-20 所 示 。 


1 
四 
| 
四 


加 
回 加 
Ds 口 于 
FTP 四 | 
ARP/RARP 四 四 
mr 四 加 
Was 日 日 
CSFS 口 口 
口 画 
-0 站 设 有 过 滋 器 ， 按 收 所 有 数据 包 ， 
四 加 
por 回回 
PPPoE 四 口 
a 回回 
TP 日 日 
日 固 
Wp 加 口 
vi aoz 19 回回 
一 -| 2 
到 到 对 到 人 到 ww | 


图 7-20 


03) 选择 【ARP/RARP] 协议 、【 接 受 〗 复 选 框 ， 表 明 要 捕捉 关于 ARP/RARP 协议 的 数据 包 ， 
单 击 下 方 的 国 按钮 ， 如 图 7-21 所 示 。 
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划 | 


ticas 


设置 更 加 精确 的 数 
据 包 捕捉 过 滤器 


可 到 对 一 到 可 | Ce] mu | 
图 7-21 


0 旨 弹出 【数据 包 过 滤器 】 对 话 框 ， 在 其 中 设置 更 加 精确 的 数据 包 捕捉 计 滤器。 在 【名 字 】 
文本 框 中 输入 过 滤器 的 名 称 “ 过 滤 1”， 选 择 【地 址 规则 】 单 选 框 ， 在 【地 址 1〗 下 拉 列 表 中 选择 
【IP 地 址 】 选 项， 输入 【IP 地 址 】 为 “172.16.4.1”， 在 【地 址 2】 下 拉 列 表 中 选择 【任意 地 址 】 
选项 ， 在 【方向 〗 下 拉 列 表 中 选择 【地 址 1<->2】 菜单 选项 ， 表 明 只 捕捉 源 人 P 为 172.16.4.1 的 数据 
包 ， 单 击 【 确 定 】 按 钮 ， 如 图 7-22 所 示 。 


数据 包 过 小 器 


x 
简单 过 小 器 | 高 级 过 泥 器 | 


图 7-22 


to 返回 【过 滤器 〗 对 话 框 ， 选 择 【过 滤 1】 复 选 框 ， 表明 使 用 【过 滤 1】 过 滤器 进行 数据 包 
过 滤 ， 单 击 【确定 】 按 钮 ， 如 图 7-23 所 示 。 
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网 分 析 模 块 


poooooooooegoooo 刚 
poooooooooooooo 岗 


新 增 的 过 滤 
和 器 “过 渡 1” 


男 可 对 国 到 可 | me | mm | 
图 7-23 


6] 返回 至 科 来 网 络 分 析 系 统 的 主 程序 界面 ， 在 右 侧 会 看 到 捕捉 过 滤器 为 【已 选择 2 个 接受 
过 滤器 ， 只 接受 匹配 的 数据 包 】〗， 表 明 设 置 捕 扣 过 滤器 成 功 ， 如 图 7-24 所 示 。 


到 科 来 网 络 分 析 系 统 2010 技术 交流 版 50 节点 ) 
局 的 科 坎 件 匀 cawtt 区 加 关于 


Ez 


-ox 
Wy 


RE 避 < 
本 地 连接 
172. 16. 4.254 捕捉 过 波 回 。 局 
口 本 地 连接 2 192. 168. 1. 203 有 
”设置 捕 失 过 讽 器 
网 络 档案 © 
已 选择 2 个 接受 过 | mees 
分 析 方 : + 
滤器 ， 只 接受 匹配 Som 
的 数据 包 衣 烧 隔 廊 " 


加 载 高 媳 分 析 栖 块 : 


日 有 战 网 络 适配器 
回 求 岗 连 所 


图 7-24 
7.3.3 ”使 用 科 来 网 络 分 析 系 统 分 析 ARP 异常 


局 域 网 通信 依赖 大 量 的 ARP 广播 , 但 是 很 多 病毒 或 者 木马 趁机 利用 ARP 广播 进行 ARP 攻击 ， 
严重 影响 局 域 网 的 畅通 。 

利用 科 来 网 络 分 析 系 统 分 析 网 络 中 ARP 异常 的 具体 操作 步骤 如 下 。 

0 和 9 选择 【开始 】>【 所 有 程序 】>【 科 来 网 络 分 析 系 统 2010 技术 交流 版 〗>【 科 来 网 络 分 


网 络 流量 监测 分 析 “第 7 这 


析 系 统 2010 技术 交流 版 〗 菜单 命令 ， 打 开 科 来 网 络 分 析 系 统 ， 选 择 监听 网 卡 〖【 本 地 和 连接】〗 复 选 框 ， 
单 击 右 侧 【 设 置 捕 提 过滤 器】 选项 ， 如 图 7-25 所 示 。 


科 来 网络 分 析 系 媒 2010 技术 交流 版 呈 0 节点 ) -ax 
em 全 cmdE OT 司 利 


网 络 适 配 串 ”局 二 
让 地 过 六 

播 捉 过 下 器 ”局 
旨 | 尖 器 ,接受 


设 村 请 提 过 尖 吕 


一 


图 7-25 


92 弹出 [过 滤器 ] 窗 口 ,选择 [ARP/RARP 协 议 的 [接收 禾 选 框 ,表明 要 捕捉 关于 ARP/RARP 
协议 相关 的 数据 包 ， 单 击 【 确 定 】 按 钮 ， 如 图 7-26 所 示 。 


OOoo000000000O0OOSOOO 
Ooo00000000000O0O0OOO| 


到 加 四 到 到 可 we | my | 
图 7-26 


03) 返回 至 科 来 网 络 分 析 系 统 程序 主 界面 ， 单 击 右 下 角 【 开 始 】 按 钮 人 @， 开 始 数据 捕捉 ， 如 
图 7-27 所 示 。 
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i 和 来 网 六 分 析 系 统 z010 技术 交流 版 (50 节点 ) -ox 
局 全 科 浊 葡 件 本 csp 区 加 关于 局 各 


可 172.16.4.254 0 
口 本 地 连接 2 192.168.1.203 0 分 析 方 案 已 
全 面 分析 
Seen 
证 
-一 - NSN 


单 击 此 按钮 开 


局 男 始 捕捉 数据 


TP 应 用 分 析 。 邮件 应 用 分 析 。 DES 应 用 分 析 。“ FT 应 用 分 析 


图 7-27 
to 毕 单 击 【停止 】 按 钮 图， 可 以 结束 数据 的 捕捉 ， 如 图 7-28 所 示 。 
Be | 分 煌 工程 1 - 全 面 分 析 - 科 采 网 络 分 析 系 统 2010 技术 交流 版 E0 节点 ) -ox 
| 分 析 | 系统 工具 。 视图 
加 了 上 国 Eh 
| mi 也 最 过 汉中 。 开始 ”停止 。 第 分 析 方 案 设置 数据 存 绪 


| CE 


单 击 此 按钮 停 
止 数据 捕捉 


田 六 协议 浏览 器 (1 
田 加 物理 浏览 器 
曼 Ti 名 


多 实时 分 析 - 全 面 分 析 。 七 本 地 连接 也 接受 1， 排除: 0 ”持续 时 间 : 00:01-16 ， 交 4 局 1919 要 报 济 各 器 0 0 40 必 
图 7-28 
togj 当 数据 捕获 完成 后 ， 选 择 【协议 〗】 选 项 卡 ， 在 该 窗口 中 可 以 看 到 网 络 中 各 个 协议 的 使 用 
比例 情况 ， 如 果 ARP 协议 使 用 比例 过 大 , 则 可 以 怀疑 网 络 是 否 中 了 ARP 病毒 或 者 某 台 主机 正在 进 
行 ARP 攻击 ， 如 图 7-29 所 示 。 
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SS | 分 析 工 程 1 全面 9 析 - 和 来 网络 分 析 系 二 2010 技术 到 流 版 50 节点) ox 
| 避 ee 多 下 助 - 
| 了 | 

| 过 活 器 hd| 

| 捕 旨 


网 阁 档案 利用 率 0D%) 每 秒 数据 包 人 D) 流量 趋势 图 (位 ) | | 


和 100.000 
因 I 训 览 器 | 100 000 | 


ARP 流量 如 果 过 
大 ， 表 示 有 ARP 病 
毒 或 攻击 


_ 昂 多 分 析 - 全 面 分 析 | 励 本 地 连接 。 了 接受: 1， 排 除 - 0 | 持续 时 间 : 00:03:10 。 11 局 4631 让 络 。| 且 上 莹 报 齐 帮 扑 COUECIOREC2 OU 
图 7-29 


to6j 选择 【数据 包 】〗 选 项 卡 ， 在 打开 的 界面 中 可 以 查看 科 来 网 络 分 析 系 统 捕 所 到 的 数据 包 。 
从 捕获 结果 中 可 以 看 出 ， 在 网 络 中 哪些 主机 在 进行 ARP 广播 ， 如 果 发 现 某 个 主机 一 直 和 大 量 的 主 
机 进行 ARP 通信 ， 则 可 以 怀疑 该 主机 正在 进行 ARP 攻击 ， 如 图 7-30 所 示 。 


(Ber™| 分 析 工 程 1 - 全 面 分 析 - 科 来 网 络 分 析 系统 2010 技术 交流 版 50 节点 ) -x 
~ 分 析 | 系统 ”工具 视图 周 利 助 - 


| 加 -了 | 国 | 国 号 


| 网络 适配器 过 小 器 。 开始。 停止 偶 规 分 析 方 案 设 置 数据 存 汪 
| 捕 提 网 结 档案 利用 宗 DX) 每 秒 数据 包 由) ， 流量 移 妇 图 (位 ) 
我 的 图 表 I I TW0 议 再 这 点 Tr 党 点 [各 理会 话 Tr 会话 cP 会话 wr 会 话 6 和” 数据 包 x [日 志 | 扳 表 | 在 线 资源 | 


数据 包 显 示 缓存 


田 “ 协议 浏览 器 (1) 
田 加 物理 浏览 器 C) 00: EO: BO:FB:BA:MD 
避 TP 浏览 器 03:51:15. 828419 | 00:E0:4C:84:73:60 
03:51:25. 683085 | 00:0A:EB:9A:EC:BT 
03:51:36. 197277 00:0A:EB:9A:EC:B? 奸 : 如 :于 : 广 : 奸 : 尼 


日 人 Packet Info: 
园 Packet Wunber: 
Packet Length: 
他 Captured Length: 
EE] Tinestann: 2n11-n6-13_n3: SN: 44.773R23 


O000 | FF FF FP FF FF FF 00 EO BO FB BA ao 08 06 00 01 08 00 06 04 00 
0015 | ol oo zo BO FB BA ao CO A8 O01 E9 00 00 00 00 00 00 Co as 01 77 
00z |oo oo oo oo oo oo 00 oo o0 oo 00 00 00 00 00 00 00 00 


多 实时 分 析 - 全 面 分 析 | 畏 本 地 连接 | 了 接受 : 1， 排 除 : 0 持续 时 间 : 00-03:10 11 襄 4631 | 
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7.4 项 目 实施 2: 使 用 Sniffer Pro 进行 网 络 流量 监控 分 析 


Sniffer Pro 的 主要 功能 是 捕获 数据 包 然后 进行 分 析 , 网 络 管理 人 员 可 以 通过 对 捕获 到 的 数据 包 
进行 分 析 ， 从 而 得 到 网 络 的 运行 情况 。Sniffer Pro 提供 的 多 种 仪表 盘 可 以 帮助 网 络 管理 人 员 更 加 直 
观 的 获取 网 络 中 协议 、 计 算 机 之 间 通 信 等 运行 信息 ， 从 而 帮助 网 络 管理 人 员 及 时 解决 网 络 故障 。 


7.4.1 安装 Sniffer Pro 网 络 嗅 探 工具 
安装 Sniffer Pro 网 络 嗅 探 工 具 的 具体 操作 步骤 如 下 。 
0 运行 安装 程序 ， 弹 出 【Sniffer Portable】 对 话 框 , 单 击 【Next】〗( 下 一 步 ) 按钮 ， 如 图 7-31 


可 Sniffer Portable 4.T.5 ~ InstallShicld yized | 


Welcome to the InstallShield Wizard 
for Sniffer Portable 4.7.5 


The Instalshield Wizard(TM) wl help install Sniffer Portable 
4.7.5 on your computer, To continue, chck Next 


CNet> ] _ Cancel 


图 7-31 
02j 弹出 【Setup】〗 (安装 ) 提示 框 口 ，Sniffer 安装 正在 继续 ， 如 图 7-32 所 示 。 
EE 


[ Sniffer Pro Setup is preparing the InstalShieldIR) 
Wizard which wil guide you through the rest of the 
setup process. Please wait. 


99% 


图 7-32 


03j 弹出 【Welcome】〗 (欢迎 ) 对 话 框 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 7-33 所 示 。 
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Yelcome x| 


‘Welcome to the Sniffer Pro Setup program This 
program wl install Sniffer Pro on your computer. 


ltis strongly recommended that you exit all Windows programs 
before running this Setup program 


Chick Cancel to qui Setup and then close any programs you 
have running Click Next to continue with the Setup program. 


WARNING: This program is protected by copyright law and 


Unauthorized reproduction or distribution of this program, or any 
portion of i, may result in severe civil and criminal penalties, and 
Wi be prosecuted to the maximum extent possible under law. 


图 7-33 


I0 绅 弹出 【Software License Agreement】〗 ( 软件 许可 协议 ) 对 话 框 ， 单 击 【Yes】〗 (是 ) 按钮 ， 
表示 同意 Sniffer Pro 的 安装 协议 ， 如 图 7-34 所 示 。 
x| 


Please read the folowing License Agreement Press the PAGE DOWN key to see 
the rest of the agreement 


etwork Associates Two [2jYear End User License Agreement 


INOTICE TO ALL USERS: CAREFULLY READ THE FOLLOWING LEGAL AGREEMENT 
AGREEMENT"), FOR THE LICENSE OF SPECIFIED SOFTWARE ("SOFTWARE") 
PRODUCED BY NETWORK ASSOCIATES. INC. ("NETWORK ASSOCIATES")} BY 
CLICKING THE ACCEPT BUTTON OR INSTALLING THE SOFTWARE. YOU [EITHER 
INDIVIDUAL OR A SINGLE ENTITY) CONSENT TO BE BOUND BY AND BECOME 


OF PURCHASE FOR A FULL REFUND.) 


Do you accept al the terms of the preceding License Agreement? If you choose No, Setup 
will close. To install Sniffer Pro, you must accept this agreement. 


a Cw] w | 


图 7-34 


05j 弹出 【User Information〗 ( 用 户 信息 ) 对 话 框 ， 在 【Name】〗 ( 姓名 ) 和 【Company】〗 ( 公 
司 ) 文本 框 中 分 别 输入 用 户 的 姓名 和 公司 信息 ， 本 实例 中 输入 姓名 为 “sushi”， 公 司 为 “yingda”， 
单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 7-35 所 示 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


User Information 


Please enter your name and the name of the company for whom 
you work. 


Name: [sushi 


Eompany: |yingda 


< Back Next> Cancel 


图 7-35 
.06j 弹出 【Choose Destination Location】〗 (选择 目标 路 径 ) 对 话 框 ， 单 击 【Browse】〗 (浏览 ) 
按钮 选择 Sniffer 的 安装 路 径 ， 默认 安装 路 径 “C:\Program Files\NAT\SnifferNT”, 单 击 【Next】( 下 
一 步 ) 按钮 ， 如 图 7-36 所 示 。 


Choose Destination Location x| 


Setup will install Sniffer Pro in the following folder, 

To install to this folder, click Next. 

To install to a different folder click Browse and select another 
folder. 


You can choose not to install Sniffer Pro by clicking Cancel to 


exit Setup. 
Destination Folder 
[sam Files\NAI\SnifferNT Browse... 


| 
图 7-36 
00 弹出 【Sniffer Pro User Registration〗 ( Sniffer Pro 用 户 注册 ) 对 话 框 ， 在 【First Name】 
(第 一 个 名 字 ) 、【Last Name】〗 (最 后 一 个 名 字 ) 、【Business〗 (公司 ) 、【Customer】 (行业 ) 
和 【E-mail】〗 (邮箱 ) 文本 框 中 输入 相关 信息 ， 注 意 如 图 7-37 所 示 ， 每 个 文本 框 必须 输入 必要 的 
信息 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 7-37 所 示 。 
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mt yo nene end intornation * ~ Indicates « 


# First Nane; Es | 
| 
| 
本 pear 
| 
swell [shiales em 


mw | 
图 7-37 
08j 弹出 【Sniffer Pro User Registration】〗 (Sniffer Pro 用 户 注册 ) 对 话 框 , 在 【Address】〗 (地 
址 ) 、【City】〗( 城 市 ) 、【Country】〗 (国家 ) 、【Postal〗 (邮编 ) 、【Phone】〗 (电话 ) 和 【Fax 
Number】〗 (传真 号 码 ) 文本 框 中 输入 相关 信息 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 7-38 所 示 。 
划 


Enter information sbout where we can contact you: 


Address:， [henanzhenezhou 
Me 


# City: [=hengzhou 
* cum - GU | 
# Country [Cra - cro | 
* Eostal ps 

TInt Area Code anber Ext. 


Nome po poo pom ooo 


Eex Wnber: Jooo po jnoooooooo 
me 


图 7-38 


109| 弹出 【Sniffer Pro User Registration】〗( Sniffer Pro 用 户 注册 ) 对 话 框 , 在 【Please let us know 
where you heard about this product〗 (请 让 我 们 知道 你 是 在 哪里 听 到 关于 这 个 产品 的 信息 ) 文本 框 
中 选择 用 户 是 通过 什么 渠道 获得 关于 Sniffer 的 信息 , 在 [Do you wish to receive announcements about 
this product】〗 ( 你 是 否 希望 接受 关于 这 个 产品 的 广告 ) 文本 框 中 选择 否 愿 意 接 收 和 Sniffer 有 关 的 
广告 ， 在 【May we share your name with other companies that use NAI products】〗 ( 我 们 是 否 可 以 和 其 
他 公司 分 享 你 使 用 这 个 产品 的 信息 ) 文本 框 选择 否 愿 意 让 其 他 的 公司 知道 你 们 正在 使 用 Sniffer， 
在 【Sniffer Serial Number】〗 (Sniffer 序列 号 ) 文本 框 中 输入 Sniffer 的 产品 密 钥 ， 单 击 【 下 一 步 】 
按钮 ， 如 图 7-39 所 示 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


加 


站 Please let us know where you D 
人 TY advertisement 


Do you wish to receive 


输入 Sniffer 
ea 的 序列 号 


(2) TE 取消 | 
图 7-39 


轩 0 弹出 【Sniffer Pro User Registration】〗 ( Sniffer Pro 用 户 注 册 ) 对 话 框 ,选择 用 户 如 何 接 入 
互联 网 的 . 有 三 个 选项 分 别 为 :【Direct Connection to the Internet】( 直接 接 入 互联 网 ) 【Connection 
to the Internet through a Proxy】〗( 通过 代理 接 入 互联 网 ) 和 【Not connected to network or Dial-up Print 


伪 fax option〗 (没有 接 入 互联 网 或 者 通过 电话 和 传真 接 入 互联 网 ) 。 这 里 选择 没有 接 入 互联 网 ， 
单 击 【 下 一 步 〗 按 钮 如 图 7-40 所 示 。 


加 
SE IE you are conmecting to the Internet through 
edt dial-up networking, you may wish to connect now, 

IE you are connecting over a local area network, you 

may need to connect through a proxy. Please consult 

your system administrator. 


IE you are unable to connect to the Internet, your 
registration information can be printed and saved. 


三 Direct Connection to the Internet 
Connection to the Internet through a Proxy 


Contigure 
(Wot connected to network or dial-up. 
int & fax option 


《上 一 步 @)| 下 一 步 中 > 取消 


图 7-40 


轩 弹出 【Sniffer Pro UserRegistration〗 ( Sniffer Pro 用 户 注册 ) 对 话 框 ， 单 击 【完成 】 按 钮 ， 
完成 Sniffer 的 注册 ， 如 图 7-41 所 示 。 
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Si tter Pro Veer BE x 


EE hetistr ation Rests: 
57 ae 


-0 leroduct Registration (offline option): 和 2 
[Please print & far to: 408-346-5633 
sppert Nonber: 912-308-9960 


[Contact Info Network Associates 
http: Nmnr nai com 
Phone # (408)968-383; 


瑞 


Save - rint 


三 二 -oduct information from the World Wi 
El 
图 7-41 


加 2 弹出 【Setup Complete〗 (安装 完成 ) 对 话 框 ， 单 击 【Finish】〗 (完成 ) 按钮 ， 如 图 7-42 
所 示 。 


Setup Complete 


Sniler Pro setup is complete 
‘Would you lke to read the release note fle? 


y Miew the Sniier Pro README fie 


Cick Finish to complete Setup. 


图 7-42 


3 弹出 【Setup Complete】( 安装 完成 ) 对 话 框 , 选择 【Yes, I want to restart my computer now】 
(是 的 ， 我 想 现在 重新 启动 我 的 计算 机 ) 选项 ， 单 击 【Finish〗 (完成 ) 按钮 ， 如 图 7-43 所 示 。 


Setup Complete 


Setup has finished copying fles to your computer. 


Before you can use the program,. you must restart Windows or 
your computer 


© Wes, | want to restart my computer now 
© No, | wl restart my computer later. 


Remove any disks fom thei dives, and then cick Finish to 
complete setup. 


图 7-43 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


蜡 多 计算 机 重启 过 之 后 ，Sniffer Pro 安装 完成 。 但 是 要 想 完 整 的 显示 Sniffer Pro 操作 界面 , 还 
必须 安装 JDK 软件 包 ， 双 击 JDK 安装 文件 ， 弹 出 【Java(TM) SE Development Kit 6 update 10 一 许 
可 证 〗 (JDK6.10 安装 许可 证 ) 对 话 框 ， 单 击 【 接 受 】〗 按 钮 ， 如 图 7-44 所 示 。 


站 Java (TN) SE Developeent Kit 6 Vpdste 10 ~ 许可 证 x 
许可 证 协议 
请 仔细 阅读 下 面 的 许可 证 协议 。 使 Sun 


Sun Microsystems, Inc. Binary Code License Agreement 


for the JAVA SE DEVELOPNENT KIT (JDK), VERSION 6 


SUN NICROSYSTENS, INC. ("SUN") IS WILLING TO LICENSE THE 


TERMS (COLLECTIVELY "AGREENENT"). PLEASE READ THE 
AGREENENT CAREFULLY. BY DOWNLOADING OR INSTALLING THIS 国 


EM | 


图 7-44 


型 色 弹出 【 自 定义 安装 〗 对 话 框 ， 单 击 【更 改 】 按 钮 自 定义 JDK 的 安装 路 径 ， 单 击 【 下 一 步 】 
按钮 ， 如 图 7-45 所 示 。 


请 从 下 面 的 列表 中 选择 要 安装 的 可 选 功能 。 安 装 完成 后 ， 您 可 以 使 用 "控制 面板 "中 的 添加/ 
删除 程序 “实用 程序 来 更 改修 选择 的 功能 


安装 到 : 
C:\Program Files\Java\jdk1,6,0_10\ 


| 
图 7-45 


加 6 JDK 安装 程序 正在 继续 安装 ， 显 示 安装 进度 ， 如 图 7-46 所 示 。 


图 7-46 


加 加 弹出 【目标 文件 夹 】 对 话 框 ， 单 击 【 更 改 】 按 钮 自 定义 Java 安装 路 径 ， 单 击 【下 一 步 】 
按钮 ， 如 图 7-47 所 示 。 


7-47 
鹿 色 JDK 安装 程序 正在 继续 安装 ， 并 显示 安装 进度 ， 如 图 7-48 所 示 。 


wa (IN) SE 


图 7-48 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 基于 Windows 平台 


是 名 JDK 安装 结束 ， 单 击 【 完 成 】 按 钮 ， 完 成 JDK 的 安装 ， 如 图 7-49 所 示 。 
| 


间 Java (TN) SE Developaent Kit 6 Update 10 = 完成 


Java(TM) SE Development Kit 6 Update 10 
如 二 委 


产品 注册 是 免费 的 ， 您 将 获得 如 下 增值 服务 : 

* 获得 新 版 本 、 修 补 程序 和 更 

pe Sb 
得 对 早期 版 本 和 文档 的 访问 


ne 完成 "后 将 收 集 产品 与 系统 信息 ， 同 时 显示 JOK 
表单 。 如 果 您 不 注册 ， 则 个 保存 以 上 信息 。 


有 关注 册 所 收集 的 数据 以 及 这 些 数据 的 
式 的 更 多 信息 ， 
请 参见 产品 注册 信息 "页面 。 


产品 注册 信息 (P) | 
到 


图 7-49 


7.4.2 设置 Sniffer Pro 监控 网 络 适配器 

如 果 安 装 Sniffer 的 服务 器 有 两 块 以 上 的 网 卡 ， 就 需要 设置 Sniffer Pro 的 监听 网 卡 。 由 于 所 有 
的 局 域 网 数据 包 都 通过 代理 服务 器 的 内 网 网 卡 连接 互联 网 , 所 以 如 果 想 要 监听 内 网 与 外 网 的 所 有 通 
信 ， 就 需要 Sniffer Pro 监控 代理 服务 器 的 内 网 网 卡 。 

具体 的 操作 步骤 如 下 。 

to 选择 【开始 】〗 二 【所 有 程序 】 二 【Sniffer Pro】〗>【Sniffer】 菜 单 命令 ， 打 开 Sniffer Pro 
软件 ， 如 图 7-50 所 示 。 


WD Vindows catalog 
OO Vindors Update 


Be i +. 
SM : 

: 

: 


基 
Internet Explorer 
2h 画图 加 paosk Eapress 


二 远程 协助 
问 科 来 网 络 分 析 系统 2010 技术 交流 版 ， 


to3 弹出 【Settings〗 (设置 ) 对 话 框 ， 选 择 代理 服务 器 的 内 网 网 卡 也 就 是 Sniffer Pro 要 监控 
的 网 卡 ， 单 击 【 确 定 】 按 钮 ， 如 图 7-51 所 示 。 
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选择 要 监控 的 内 网 网 卡 


Select settings for monitorin 
要 Bew. 
EBEAMD PCNET Family PC] Ethernet Ad 
AND PCNET Family PCI Ethernet Adt .Edit 
Late 


于 Log Off 


Select Settings | 


Current medium 
Line 


Cw ]_ ws | 
图 7-51 
I03) 弹出 Sniffer Pro 程序 的 主 界面 ， 主 界面 由 工具 栏 、 仪 表盘 、 流 量 统计 3 部 分 构成 ， 如 图 


7-52 所 示 。 


TREE | 
Hile Mlonitor Captwe Displey Tools Datdbwse Eindow Help 
Wl aryl | on | 


加 日 | 全 | 人 | 下 | 区 |@| 杰 | 一 | 人 @@| 肥 | 为 | 多 | 全 


.Short Term Long Term 


GDZZZ 
9 = 


1 15:01.45 15:1415 


图 7-52 
7.4.3 ”Sniffer 的 监控 功能 


Sniffer 的 主要 功能 是 监控 网 络 中 数据 包 的 传输 。Sniffer 主要 有 7 大 监控 功能 ， 包 括 Dashboard 
(仪表 )、Host Table (主机 列表 )、Matrix (和 矩阵 )、ART (应 用 响应 时 间 )、Protocol Distribution 〈 协 
议 分 类 )、History Sample〔〈 历 史 采 样 ) 和 Global Statistics 〈 球 状 统计 )。 合 理 使 用 这 些 功能 可 以 帮 
助 网 络 管理 员 实 时 的 查看 网 络 中 传输 的 数据 ， 便 于 网 络 管理 员 及 时 发 现 故障 并 解决 。 

1. Dashboard (仪表 ) 


Sniffer Pro 使 用 各 种 仪表 盘 将 捕捉 到 的 数据 包 以 人 性 化 的 方式 显示 ， 熟 练 使 用 Sniffer Pro 的 各 
种 仪表 盘 有 助 于 快速 的 分 析 数 据 包 并 解决 问题 。 


中 小 型 企业 网 络 管 理 实战 和 典 基于 Windows 平台 


Sniffer Pro 仪表 盘 使 用 图 形 化 界面 , 可 以 直观 地 检测 到 网 络 的 利用 情况 。 具体 的 操作 步骤 如 下 。 

,04 在 Sniffer Pro 的 程序 主 界面 单 击 选择 【Monitor】 (监控 ) 六 【Dashboard】〗 (仪表 ) 菜单 
命令 ， 可 以 打开 Sniffer Pro 仪表 盘 。Sniffer Pro 的 仪表 盘 有 【Utilization%】〗 (利用 率 百分比 ) 、 
【Packets/s〗 ( 每 秒 传输 的 数据 包 ) 和 【Errors〗 (每 秒 产生 的 错误 ) 三 个 表盘 ， 如 图 7-53 所 示 。 
= 上 | 当 | 


和 Short Term Long Term 


| 


图 7-53 


【分 Sniffer Pro 的 三 个 仪表 盘 下 面 都 有 两 个 数字 ， 前 面 一 个 数字 是 当前 值 ， 后 面 一 个 数字 
是 最 大 值 。 


提 示 
:个 仪表 盘 的 含义 如 下 。 
e@ 【Utilization%】( 利用 率 百 分 比 ) 表示 网 络 带宽 利用 率 ， 也 就 是 现在 网 络 流量 所 占 带 宽 占 
总 带宽 的 百分比 。 利 用 率 百分比 应 该 根据 不 同 的 网 路 情况 来 进行 区 分 ,不同 的 网 络 或 者 不 
同 的 网 络 拓 扑 ， 网 络 带 宽 利 用 率 不 一 样 。 比 如 以 太 网 网 络 的 网 络 带 宽 如 果 能 超过 40% 就 算 
很 高 了 ， 但 是 全 双 工 以 太 网 中 网 络 带宽 需要 达到 80% 才 算 高 。 
@ 【Packets/s】〗( 每 秒 传输 的 数据 包 ) 每 秒 钟 传输 的 数据 包 可 以 帮助 管理 员 更 深入 地 了 解 每 
秒 钟 网 络 中 传输 帧 的 大 小 。 通 过 每 秒 钟 传输 的 数据 包 可 以 分 析出 当前 网 络 传输 速度 ， 当 网 
络 利用 率 较 小 ， 但 数据 传输 速度 比较 快 时 ， 就 表明 网 络 中 传输 的 数据 包 较 小 。 
@ 【Error/s】〗( 每 秒 产 生 的 错误 ) 每 秒 产 生 的 错误 数据 包 数 。 很 多 网 络 管理 员 一 听 到 错误 数 
据 包 数量 ,就 认为 如 果 每 秒 钟 产生 的 错误 过 多 就 是 网 络 出 现 了 问题 ， 其 实 并 非 每 个 错误 数 
据 包 都 会 带 来 网 络 问题 。 比 如 在 以 太 网 中 产生 的 数据 包 冲 突 也 是 错误 数据 包 造 成 的 ， 但 这 
种 数据 包 只 要 不 是 过 多 就 不 会 带 来 问题 。 
02) 如 果 想 要 查看 数据 包 的 详细 信息 ， 单 击 在 【Utilization%6】〗 (利用 率 百分比 ) 仪表 栓 下 面 
的 【Detail〗 (详细 信息 ) 选项 ， 打 开 详细 信息 界面 ， 在 其 中 查看 相关 的 详细 信息 。 单 击 仪表 盘 上 
的 【Set Thresholds〗 (设置 阅 值 ) 按钮 ， 如 图 7-54 所 示 。 
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图 7-54 


I03) 弹出 【Dashboard Properties〗 ( 仪表 盘 内 容 ) 对 话 框 ， 可 以 设 定 仪 表盘 的 冰 值 ， 当 网 络 
中 的 流量 达到 一 定数 值 ， 既 阅 值 时 ，Sniffer Pro 用 红色 进行 报警 ， 如 图 7-55 所 示 。 
| 


图 7-55 

2. Host Table (主机 列表 ) 

Host Table (主机 列表 ) 以 列表 的 形式 显示 了 当前 网 络 中 计算 机 的 通信 信息 ,包含 发 送 数 据 包 、 
接收 数据 包 和 错误 数据 包 等 信息 。 如 果 一 个 主机 在 一 定 的 时 间 内 发 送 或 者 接收 了 大 量 的 数据 包 , 就 
可 以 怀疑 该 计算 机 正在 使 用 BT、P2P 等 下 载 软件 。 

以 主机 列表 形式 查看 计算 机 通信 信息 的 具体 操作 步骤 如 下 。 

i014 在 Sniffer Pro 的 操作 界面 单 击 菜单 【Monitor】〗 ( 监控) 关 【Host Table】〗 (主机 列表 ) 
选项 ， 打 开 【Host Table〗 ( 主机 列表 ) 对 话 框 。 列 出 了 当前 捕捉 到 的 网 络 主机 通信 信息 ， 如 图 7-56 
所 示 。 
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图 7-56 


显示 的 信息 项 目 内 容 解释 如 下 。 


【Hw Addr】( 硬 件 地 址 ); 默认 情况 下 ， 主 机 列表 以 MAC 地 址 的 形式 表示 通信 主机 。 
【In Pkts】〗( 传 入 数据 包 ): 此 主机 接收 的 数据 包 。 
【Out Pkts】〗( 传 出 数据 包 ): 此 主机 发 送 的 数据 包 。 
【Im Byts] ( 传 入 字 节 数 ); 此 主机 接收 的 字 节 数 。 
【Out Bytes】〗( 传 出 字 节 数 ): 此 主机 发 送 的 字 节 数 。 
【Broadcast】( 广播 数据 包 ) 此 主机 广播 的 数据 包 。 
【Out Errors】〗( 传输 的 错误 数据 包 ): 此 主机 传 出 的 错误 数据 包 。 
io3j 单 击 【Host Table】〗 ( 主机 列表 ) 对 话 框 左下 方 的 【 卫 〗 选 项 ， 则 Sniffer Pro 将 以 他 地 
址 的 形式 表示 捕捉 到 的 网 络 主机 ， 如 图 7-57 所 示 。 


0 2011-06.02 1E16.34 .953 
0 20110602 1632.29 652 
0 2011-0602 1632.29.65) 
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以 IP 地 址 的 形 
1921681.147 式 来 标示 主机 


1921681151 
1921681165 


ooccc>*oogccccoococococooocc=cc>| 
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7-57 
3. Matrix〈 算 阵 ) 
Matrix (矩阵) 以 和 矩阵 的 形式 来 显示 当前 的 网 络 通 信 信 息 ， 通 过 和 矩阵 可 以 清晰 看 到 网 络 中 的 主 
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机 正在 与 哪些 主机 进行 通信 ， 当 某 个 主机 不 停 地 和 大 量 的 主机 同时 进行 通信 时 , 就 可 以 怀疑 该 主机 
是 否 中 了 蠕虫 病毒 或 者 正在 使 用 BT、P2P 等 下 载 软件 。 

以 矩阵 方式 查看 网 络 通信 信息 的 具体 操作 步骤 如 下 。 

01 在 Sniffer Pro 的 操作 界面 单 击 菜单 【Monitor】〗 (监控 ) 关 【Matrix〗 ( 算 阵 ) 选项 ， 打 
开 【Matrix〗 (矩阵 ) 对 话 框 。 列 出 了 当前 捕 提 到 的 网 络 主机 通信 信息 ， 默 认 情况 下 在 矩阵 中 以 
MAC 地 址 的 形式 来 表示 网 络 中 的 主机 ， 如 图 7-58 所 示 。 


jx| 


Traffic Map 


RealtAE612 


图 7-58 
上 图 中 线条 的 颜色 表示 相应 的 通信 状态 如 下 。 
绿色 线条 状态 为 :正在 通讯 中 。 
@ 暗 蓝 色 线 条 状态 为 : 通信 中 断 。 
@ 线 条 的 粗细 与 流量 的 大 小 成 正比 。 
如果 将 鼠标 移动 至 线条 人 处， 程序 显示 出 流量 双方 位 置 、 通 讯 流 量 的 大 小 ， 并 自动 计算 流量 
占 当前 网 络 的 百分比 。 


02j 单 击 【Matrix】〗 (和 矩阵) 对 话 框 左下 方 的 【IP】〗? 选 项 ， 则 Sniffer Pro 将 以 PP 地 址 的 形式 
表示 捕捉 到 的 网 络 主机 ， 如 图 7-59 所 示 。 
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图 7-59 
4. ART (应 用 响应 时 间 ) 


ART 应 用 响应 时 间 〉 主 要 用 来 显示 网 络 中 主机 的 上 网 行为 ， 通 过 ART〔 应 用 响应 时 间 ) 可 
以 看 出 网 络 主机 的 HTTP 连接 情况 ， 可 以 直观 看 到 网 络 用 户 正在 浏览 什么 网 站 。 

在 Sniffer Pro 的 操作 界面 选择 【Monitor】( 监 控 ) 二 【Application Response Time】( 应 用 响应 
时 间 ) 菜单 命令 ， 打 开 【Application Response Time】( 应 用 响应 时 间 ) 对 话 框 ， 列 出 了 网 络 主机 正 
在 使 用 HTTP 协议 和 网 络 中 的 哪些 主机 进行 通信 ， 如 图 7-60 所 示 。 


werAp?lication Response Time (milliseconds) ~ NTTP: 14 Entries 3 = 上 | 口 |x| 

夯 Server Address | Chent Addess TavaRsp [90%Rsp IMnRsp IMaxfisp [ToRsp [025 25:50 151100_ J101:200 |201-400 1401-800 je 

一 加 116255136105 加 howin1le0al4ed 125 222 2 273 7 2 0 0 4 1 0 0 

136105 加 bogo 15 22 3 7 2 0 0 4 1 0 0 

加 howinlle0alted 69 99 3 11 1 和 0 1 0 0 

加 booo 69 9 3 11 1 7 0 1 0 0 

207.147 加 howin-1le0al4ed 366 518 184 2 0 0 0 1 0 1 0 

207147 加 booon 366 518 185 2 0 0 0 1 0 1 0 

加 hwinf157.1e100m 加 hown1le0aled 97 173 3 2 了 0 0 1 0 0 0 

加 hxinf1571e100m 加 booo % 173 4 2 1 0 0 1 0 0 0 

加 hwinf166.1e1l00m 加 howin-1le0al4ed 63 118 4 2 1 0 0 1 0 0 0 

加 hwint1661e100n 思 bogon 63 118 4 2 1 0 0 1 0 0 0 

国 reverse gdsz cncnt 四 howin-1f90af4ed 71 al 38 3 0 1 2 0 0 0 0 

到 Ieverse dszcncnt 加 bogon nn 了 2 39 3 0 1 2 0 0 0 0 

加 名 2814147 加 howin lie0al4ed 47 5 37 3 0 2 1 0 0 0 0 

因 602814147 加 boom 49 5 39 7 3 0 2 1 0 0 0 0 

1 ， 

上 年 一 一 一 一 一 一 一 一 一 一 一 一 一 一 一 一 一 + Er 
图 7-60 


5. Protocol Distribution (协议 分 类 ) 

Protocol Distribution 〈 协 议 分 类 ) 主要 显示 了 网 络 中 不 同 协 议 的 使 用 情况 ， 查 看 协议 分 类 的 具 
体操 作 步 又 如 下 。 

014 在 Sniffer Pro 的 操作 界面 选择 【Monitor】〗 (监控) 二 【Protocol Distribution】〗 (协议 分 
类 ) 菜单 命令 ， 打 开 【Protocol Distribution〗 (协议 分 类 ) 窗口 ， 用 不 同 颜色 显示 了 当前 网 络 中 不 
同 协议 的 使 用 情况 ， 如 图 7-61 所 示 。 
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Network Protocol 


图 7-61 
02j 单 击 工具 栏 堪 侧 【 副 |]〗 图 标 ， 则 将 以 饼 形 来 显示 不 同 协议 的 使 用 情况 ， 如 图 7-62 所 示 。 
和 [3 2 
四 PAPP 
四 Pve 


图 7-62 
,03j 单 击 工具 栏 堪 侧 【 四 ] 图 标 ， 则 将 以 表格 的 形式 来 显示 不 同 协议 的 使 用 情况 ， 如 图 7-63 
所 示 。 


6 
% of Bytes | Packets |% of Packets 
IE | 2228.233 9944 3154 |34.46 
IEARP|11392 “051 178 “1533 
005 7 021 


图 7-63 


6. History Sample (历史 采样 ) 

History Sample《〈 历 史 采 样 ) 可 以 捕 提 到 一 段 时 间 内 各 个 阶段 的 网 络 利用 情况 。 

在 Sniffer Pro 的 操作 界面 中 选择 【Meonitor】( 监控) 二 【History Sample】 (历史 采样 ) 菜单 命 
令 ， 打 开 【History Sample】( 历史 采样 ) 窗口 ， 如 图 7-64 所 示 。 


ZE 
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图 7-64 


如 果 想 看 网 络 中 这 一 时 段 每 秒 钟 传输 的 数据 包 ， 双 击 【 ,号 .】 图 标 ， 弹 出 【Packets/s】( 每 秒 的 
数据 包 数 量 ) 对 话 框 。 在 【Packetss】( 每 秒 的 数据 包 数 量 ) 对 话 框 下 方 的 时 间 表 明 捕 捉 的 是 什么 
时 间 段 的 数据 包 ，History Sample〈 历 史 采 样 ) 每 隔 15 秒 捕 提 一 次 。 管 理 员 可 以 将 这 个 记录 进行 保 
存 ， 以 便 日 后 分 析 网 络 时 使 用 ， 如 图 7-65 所 示 。 


Packets/s 


[ 品 示 每 秒 的 数据 包 数 量 Packetsls 


tT 
四 
加 
i 
四 
加 
四 
可 
吕 


0 
17:28:29 173044 173314 173544 173814 
2011-06-02 17:27:44 - 2011-06.03 0827.29 (nterval = 15 sec, Buffer Action - Stop) 


图 7-65 
7. Global Statistics 〈 全 局 统计 ) 
Global Statistics〈 全 局 统计 ) 用 来 显示 网 络 中 传输 的 数据 包 大 小 分 布 。 
在 Sniffer Pro 的 操作 界面 中 选择 【Monitor】( 监 控 ) 二 【Global Statistics】( 全 局 统计 ) 菜 


单 命 令 ， 打 开 【Global Statistics】( 全 局 统计 ) 对 话 框 。 如 图 7-66 所 示 ， 在 其 中 可 以 查看 全 局 
统计 信息 。 
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Size Distribution 


图 7-66 
7.4.4 ”捕捉 数据 包 


默认 情况 下 ，Sniffer Pro 会 监听 所 有 的 数据 包 ， 在 实际 的 数据 包 捕 获 过 程 中 ， 有 些 数据 是 无 关 
紧要 的 ， 如 特定 主机 的 数据 包 、 符 合 某 种 网 络 协议 的 数据 包 等 。 这 时 就 需要 设置 捕捉 数据 包 的 过 滤 
条 件 ，Sniffer 只 捕 提 与 条 件 相关 的 数据 包 ， 这 样 可 以 大 大 节省 分 析 数 据 包 的 时 间 。 

1. 设置 IP 过 滤 规 则 

通过 添加 一 个 过 滤器 ， 使 得 Sniffer Pro 只 捕捉 特定 PP 地 址 段 的 数据 包 ， 具 体操 作 步 又 如 下 。 

i0 在 Sniffer Pro 的 操作 界面 中 选择 【Capture】〗 ( 捕获 ) 二 【Define Filer】〗 (定义 过 滤器 ) 
菜单 命令 ， 弹 出 【Define Filter - Capture】〗 ( 定义 捕获 过 滤器 ) 对 话 框 ， 单 击 【Profiles〗 ( 配置 文 
件 ) 按钮 ， 如 图 7-67 所 示 。 

下 到 


Sammary | Address | Data Pattern | Advanced| Buffer | 


日 
Buffer size: 8 Meg Byte 
Buffer action: Wrap 


Beset 
取消 Profiles, 
图 7-67 


,02 弹出 【Capture Profiles〗 (捕捉 配 置 文件 ) 对 话 框 ， 单 击 【New】〗 (新 建 ) 按钮 ， 如 图 
7-68 所 示 。 
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可 
Profile: 
New... 
Delete | 
Renane .. | 
图 7-68 


I03) 弹出 【New Capture Profile〗 (新 的 捕捉 配置 文件 ) 对 话 框 ， 在 【New Profile Name】〗( 新 
的 配置 文件 名 字 ) 文本 框 输入 过 滤器 的 名 字 ， 单 击 【OK】〗 (确定 ) 按钮 ， 一 个 新 的 过 滤器 创建 完 
成 ， 如 图 7-69 所 示 。 
二 现 


New Profile Nane: 
fral Cancel 


{© Copy Existing Profile: 
Default -| 


Copy Sanple Profile: 


ae Talk 司 


图 7-69 


0 返回 至 【Capture Profiles】〗 (捕捉 配置 文件 ) 对 话 框 ， 单 击 【Done】〗 (是 ) 按钮 ， 如 图 
7-70 所 示 。 


gd 
Profile: 
Default Done | 
EF 到 习 
Delete | 
Bename. .. | 
图 7-70 


I05) 返回 【Define Filter 一 Capture】〗( 捕捉 过 滤器 ) 对 话 框 ， 选 择 【Address】〗 (地址 ) 选项 卡 ， 
在 【Address〗 (地 址 ) 下 拉 列 表 中 选择 【IP】〗 选 项 ， 如 图 7-71 所 示 。 
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AE] 
Summary Mdress |Data Pattern | Advanced | Buffer | Settings For 
Address Known Address: Dragsble) To 


取消 | Profiles..| 
图 7-71 
to6j 在 【Station 1】 (起 始 地 址 ) 和 【Station 2〗 ( 结束 地 址 ) 文本 框 中 分 别 输 入 要 捕捉 的 人 P 


地 址 范围 ， 本 实例 输入 172.16.4.1 至 172.16.4.3， 单 击 【 确 定 】 按 钮 ， 则 一 个 新 的 IP 过 滤器 创建 完 
成 ， 如 图 7-72 所 示 。 


了 xl 
Sunmary Address |Dats Pattern | Advanced | Buffer | SeungeFor 
Address Known Address: (Dragable) 克己 
所 | 
Mode 由 - 遇 Broadecast/lulticast Address 
G Paais © Mddress Book 
F Exclude 
| stetion4 | | stationz | 


| 黑 洁 国 |1721643 


取消 | Profiles 


图 7-72 


2. 设置 协议 过 滤 规 则 

网 络 通信 过 程 中 都 需要 用 到 各 种 各 样 的 网 络 协 议 , 在 监听 数据 的 时 候 , 在 Sniffer Pro 中 可 以 设 
置 只 监听 某 个 协议 或 者 某 些 协议 的 通信 信息 。 

设置 过 滤器 过 滤 与 特定 通信 协议 相关 的 数据 包 具 体操 作 步 骤 如 下 。 

to4 在 Sniffer Pro 的 操作 界面 中 选择 【Capture】〗 ( 捕捉 ) 关 【Define Filer】〗 (定义 过 滤器 ) 
菜单 命令 ， 弹 出 【Define Filter - Capture〗 (定义 捕捉 过 滤器 ) 对 话 框 ， 单 击 【Profiles〗 ( 配置 文 
件 ) 按钮 ， 如 图 7-73 所 示 。 
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到 


Summary |Adiress | Data Pattern | Advanced | Buffer | 


Buffer sizre: 8 Meg Byte 
Buffer action: Wrsp 


| 


Pre 2 | 
图 7-73 


03 弹出 【Capture Profiles〗 ( 捕捉 配置 文件 ) 对 话 框 ， 单 击 【New】〗 (新 建 ) 按钮 ， 如 图 
7-74 所 示 。 


ED 3 


Profile: 


Delete | 
Rename... | 


图 7-74 


I03) 弹出 【New Capture Profile〗 ( 新 的 捕捉 配置 文件 ) 对 话 框 ,在 【New Profile Name】〗( 新 
的 配置 文件 名 字 ) 文本 框 输入 过 滤器 的 名 字 “protocol”， 单 击 【OK] (确定 ) 按钮 ， 一 个 新 的 过 
滤器 创建 完成 ， 如 图 7-75 所 示 。 


over prof 


Wew Profile Name: 
[protoeoll Cancel | 


{© Copy Existing Profile: 
Default 司 


© Copy Sample Frofile: 


| FE Talk | 
图 7-75 


I0 旨 返回 至 【Capture Profiles〗 ( 捕 所 配置 文件 ) 对 话 框 ， 单 击 【Done】〗 (是 ) 按钮 ， 如 图 
7-76 所 示 。 
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Delete 


图 7-76 


105) 返回 【Define Filter 一 Capture】〗 ( 捕捉 过 滤器 ) 对 话 框 ， 选 择 【Advanced】〗 (高 级 ) 选项 
卡 ， 选 择 【IP】〗?>【TCP】> 【FTP】 选 项 ， 单 击 【 确 定 】 按 钮 ， 一 个 新 的 网 络 协 议 过 滤器 创建 完 
成 ， 如 图 7-77 所 示 。 


Define Filter - Capture 21xl 
Sammary | Adadress | Data Pattern Advanced |Buffer | 


LDAP | 
Packet Size Packet Type 
Pm 王 ET = 
[BCRC Error 
和 1 sizes Jabber 到 


图 7-77 
默认 情况 下 ,Sniffer Pro 会 捕捉 所 有 经 过 Sniffer 监听 网 卡 的 数据 包 , 网 络 管理 员 可 以 对 这 些 数 
据 进行 分 析 ， 从 而 发 现 网 络 存在 的 问题 。 
3. 选择 合适 的 过 滤器 
在 Sniffer Pro 的 操作 界面 中 选择 【Capture】( 捕 捉 ) 关 【Define Filer】( 定 义 过 滤器 ) 菜单 命令 ， 


弹出 【Define Filter - Capture】( 定 义 捕 提 过 滤器 ) 对 话 框 ， 单 击 【Settings For】 (设置 ) 文本 框 下 
面 要 使 用 的 过 滤器 Default， 单 击 【确定 】 按 钮 ， 如 图 7-78 所 示 。 


中 小 型 企业 网 络 管 理 实战 富 典 基于 Windows 平台 


Define Filter - Captare 21xl 


Summary | Address | Data Pattern | Advanced | Buffer | 


取消 ”| Prefiles 


图 7-78 


4. 捕捉 数据 包 
具体 的 操作 步骤 如 下 。 
td 选择 【Capture〗 (捕捉 ) > 【start〗 (开始 ) 菜单 命令 ， 或 者 单 击 工具 栏 上 的 【加 ] 按 


钮 开始 数据 包 捕捉 ， 弹 出 【Expert〗 (专家 ) 窗口 ， 如 图 7-79 所 示 。 
EE 9 
国 
: 


图 7-79 


2 当 数 据 包 捕捉 包 完 毕 后 ， 选 择 【Capture】〗 (捕捉 ) 二 【stop and display】〗 (停止 并 显示 ) 
菜单 命令 ,或 者 单 击 工具 栏 上 的 [| 蜀 |] 按 钮 ,弹出 如 图 7-80 所 示 的 [snif2: Expert,105 unknown frames】 


(105 个 未 知 的 帧 ) 窗口 。 


.178 。 
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FEzpert。 105 Unknown Frames 


I 
到 济公 虹 


Description 


图 7-80 


03) 单 击 下 面 的 【Decode】( 解 码 ) 按 钮 ， 进 入 Sniffer 的 专家 解码 系统 ， 在 其 中 可 以 查看 相关 
的 数据 信息 ， 如 图 7-81 所 示 。 


HSnif2: Decode, 1/105 Vnknown Frames 


[192 8 1 199]| [172 16.4 2] 
[172.16.4.2] [192.168.1.199]|TCP 
[192.168.1.203]| [192.168.1.199] I 
[192.168.1 199]| [192 168.1.203]|TC 


Pp 

CP: Source port = 1073 
CP: Destina 

P: Initi 
Pp: Next e 


00000000: 00 0c 29 21 db 69 00 0c 29 cl £3 72 08 00 45 00 
00000010: 00 30 06 02 40 00 80 06 82 44 ac 10 04 02 c0 a8 ? _ 括 
00000020: 01 -7 _UARSI OOlI5 3S4 DAUEEIE4 OO OO OO Ool70lo2z er 到 
00000030 40 00 47 ee 00 00 02 04 05 b4 01 01 04 02 @.G? s 


【Decode】( 解 码 ) 


\Expert \ Decée A Matrix A Host Table A Protocol Dist. 入 Statistics / 


图 7-81 
5. 分 析 捕 捉 到 的 数据 包 


在 Sniffer Pro 的 专家 解码 界面 中 ， 主 要 分 为 三 部 分 ， 从 上 往 下 分 别 是 捕捉 到 的 数据 包 、 详 细 资 
料 、 包 的 十 六 进 制 数 据 信息 。 
分 析 捕获 到 的 数据 包 的 具体 操作 步骤 如 下 。 


和 在 捕获 的 数据 信息 中 选择 需要 分 析 的 数据 包 信息 ， 如 图 7-82 所 示 为 FTP 数据 包 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


Decode, 1/10 Vnknown Frames 


WIN=1747160 


捕捉 到 的 数据 包 


\ Expert A Decoue A Metrix 7 
图 7-82 


窗口 中 的 相关 参数 含义 如 下 。 


【No] (序列 号 ): 捕捉 到 的 数据 包 的 序列 号 。 

【Status】〗( 状 态 ): 捕 捉 到 的 数据 包 的 状态 。 

【Source Address〗( 源 地 址 ): 捕捉 到 的 数据 包 的 源 地 址 。 
【Dest Address】〗( 目标 地 址 ) 捕捉 到 的 数据 包 的 目标 地 址 。 
【Summary】( 总 结 ); 捕捉 到 的 数据 包 的 总 结 信息 。 


[02 单 击 【DLC) 前 面 的 【+)】 号 按钮 ， 展开 【DLC】( 数据 链 路 控制 ) 模块 ,在 【DLC】( 数 
据 链 路 控制 ) 区 域 中 显示 了 捕捉 的 帧 的 数据 链 路 层 信息 ， 如 图 7-83 所 示 。 


Snifl: Decode, 和 Vnknown Frames 


Frame 1 arrived at 14:53:59.7683; franme size is 
Destination = Station 000C2921DB69 

Source = Station 000C29C1F372 

Ethertype = 0800 (IP) 


D=[192 168 .1 .19 2 
00000000: 00 Oc 29 21 db 69 f3 72 08 45 
00000010: 00 3 8 88 35 ac 10 04 02 c0 a8 


00000020 C7 9 00 00 00 00 70 02 
nnnnnnan an nn gn 1 nn nn n2 Na ns ha ni NT Na Nn? 


Expet 入 Decode A Matrix 人 Host Table 人 Frotocol Dist. 入 Statistics / 


图 7-83 


主要 包括 以 下 内 容 。 
e@ 【Destination】( 目的 物理 地 址 ) 捕捉 到 的 数据 的 目的 物理 地 址 。 


@ 【Source】〗( 源 物理 地 址 ): 捕捉 到 的 数据 包 的 源 物理 地 址 。 
@ 【Ethertype】〗( 以 太 类 型 ) 在 这 里 以 太 类 型 为 0800， 表 示 是 IPv4。 


to3j 单 击 【IP] 前 面 的 【+]】〗 号 按钮 ， 展 开 【IP] 模块 ， 在 【IP] 区域 中 主要 显示 了 捕捉 到 的 
数据 包 的 网 络 层 信 息 ， 如 图 7-84 所 示 。 
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No [Sahs |SoumoeAddese [Des Accese 
1 [IT172.15.4.2] |[192 169-1.199] 
2 [192.158.1.199]|[172 16.4.2] 

3 [172.15.4.2] |[132 168.i.1i99] 


D|ECCO 


数据 包 详细 信息 
【IP】 模块 


主要 包括 以 下 内 容 。 
【Version】( 版 本 ): IP 协议 的 版 本 ，4 表示 IPvV4，6 表示 IPv6。 
【Total length〗 (总 长 度 ): IP 数据 包 的 总 长 度 。 
【Time to live】〗( 保存 时 间 ): 表示 TTL 值 的 大 小 ， 说 明 一 个 数据 包 保存 时 间 的 长 短 。 
【Protocol】( 协议 ): 这 个 数据 包 上 一 层 使 用 什么 协议 ， 这 里 的 上 一 层 是 传输 层 ， 用 的 是 
TCP 协议 。 
【Source address】( 源 地 址 ): 数据 包 的 源 卫 地 址 。 
e@ 【Destination address】〗( 目标 地 址 ) 数据 包 的 目标 卫 地 址 。 


04 单 击 【TCP] 前 面 的 【+]〗 号 ， 展 开 【TCP] 模块 ， 在 【TCP]〗 区 域 中 主要 显示 了 捕捉 到 
得 数据 包 的 传输 层 的 相关 信息 ， 如 图 7-85 所 示 。 


ET es 
{172.16.4-2] |f192-156-T-I99 
[192.168. 1,199]|[172.15.4.2] 

[172.16.4.2] |[192.168.1.199 


CE 
凯 


IDDDDDDDDDCDPDDDDDPDDD - 


on in the Hex Lunp 


dddH99da9ddddaddsdsd™ 


em” 


Ele 


0 D0 oe a a a 3 0 ee 
oooo0010. 00 30 D0 11 40 00 80 06 88 35 ac 10 


DY fr 


Ee 
9c 77 . 括 


图 7-85 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


主要 包括 以 下 内 容 。 

@ 【Source port】( 源 端 口 ): 数据 包 在 传输 层 使 用 TCP 源 端口 号 。 

@ 【Destination port】( 目标 端口 ); 数据 包 在 传输 层 使 用 TCP 目标 端口 号 。 

e@ 【Checksum】〗( 校 验 和 ): 显示 了 TCP 协议 的 校 验 和 。 

05j 单 击 窗口 下 方 【Matrix】〗 (矩阵 ) 按钮 ， 可 以 直观 的 显示 网 络 中 各 计算 机 之 间 的 链接 ， 
如 图 7-86 所 示 。 


Traffic Map 


\Expert A Decode A Matrix 


图 7-86 

06j 对 于 捕捉 到 的 数据 包 ， 为 了 便于 日 后 查询 或 者 是 比较 使 用 ， 往 往 需 要 保存 。 当 捕捉 结束 
后 ， 在 Sniffer Pro 主 操作 界面 中 选择 【File】〗>【Save】 选 项 ， 即 可 将 当前 已 捕捉 到 的 数据 包 保 存 
在 硬盘 中 。 

6. 使 用 Sniffer Pro 分 析 客户 端 登 陆 FTP 的 过 程 

网 络 管理 员 经 常会 面临 着 在 企业 防火 墙 中 设置 如 何 允 许 内 网 主机 访问 部 分 外 网 服务 ， 或 者 是 
禁止 内 网 主机 访问 外 网 的 某 个 服务 的 情况 ， 这 时 就 需要 详细 了 解 服务 的 运行 信息 。Sniffer Pro 可 以 
帮助 管理 员 快 速 的 掌握 某 项 服务 的 数据 包 的 实际 流动 信息 。 

下 面 介绍 客户 机 登陆 外 网 FTP 服务 器 时 的 数据 包 流动 情况 ， 具 体操 作 步 又 如 下 。 

0 单 击 Sniffer Pro 操作 界面 中 工具 栏 上 的 【_】 按 钮 ， 开 始 捕捉 数据 包 ， 如 图 7-87 所 示 ， 
然后 在 客户 机 中 的 一 台电 脑 上 登陆 FTP 服务 器 。 
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- sni ffer Portable - Local. Fthernet (Line =sPeea at 10 WpS) ESSGSEEZSEEEGEE 
File Monitor Capt Display Tools Datsbase Window Help 


ET 
EC | 二 型 | 三 号 | 


1730 Wnkn 


684.388]| [4338-48817 199] TcE 


开始 捕捉 数 
据 包 


0000000 


oo0000010: op 73 40 00 括 
oo000020: o1 od 00 15 c 5 E43 

00000030: 42 39 00 00 giaoo 6 op 6 oo B 方 ? 。 是 类 呈 | 

\ Epa \ Decoue AMatre Ko Topie A Protocol Dist_ 人 Statisics J 

For Help, press FL [i | 交 [ I A 


图 7-87 


to3 当 FTP 登陆 过 程 捕捉 完成 后 ， 单 击 工具 栏 上 的 【图 】 按 钮 ， 停 止 捕 捉 并 显示 捕捉 到 得 数 
据 包 情 况 ， 如 图 7-88 所 示 。 


捕捉 后 单 击 
此 按钮 停止 


[fo | mens 


Per Help, press F1 rT 二 | 此 | CE 4 


图 7-88 


to3j 单 击 选中 的 【No] 框 中 为 “1” 的 那个 数据 包 ， 进 行 分 析 。 可 以 看 到 源 IP 为 172.16.4.2 
的 主机 要 访问 目标 他 为 192.168.1.199 的 FTP 服务 ， 如 图 7-89 所 示 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


niffer Portabl 


cal, Ethernet 


[5 sl 的 | 训 oem | 
下 图 | i Ea = 一 


428760463 
876046 


= (No ur 
1 = Ackn 
0 = (No push) 


EGR J 
29 21 db 69 00 Oc 29 cl £3 72 08 00 45 00 
00 73 40 00 80 06 87 db ac 10 04 0 
4 0d 00 15 19 8e Sd 8f ed 18 ca 7d 
7 99 00 00 Dolooloolnolon 


For Help, press Fl TT wi 安 | [ 瓜 


通过 图 7-89 可 以 看 出 该 数据 包 在 传输 层 使 用 的 是 TCP 协议 ， 其 中 【Source port】( 源 
端口 ) 是 1037,【Destination port】( 目标 端口 ) 是 21， 客 户 机 访问 目标 主机 的 FTP 
提 示 服务 。 


io 绚 从 捕获 到 的 数据 中 可 以 看 出 FTP 在 传输 层 使 用 的 是 TCP 协议 ， 在 客户 机 登陆 FTP 成 功 
之 前 首先 需要 进行 TCP 协议 的 三 次 握手 ， 如 图 7-90 所 示 。 


Ethernet (Li 9/3 =Iolxl 
Eile lonitor Capture Displey Tools Datsbase Eindor lp 了 下 划 


(ls) Kroon | 
Fl 


188 1 199] 名 
16.4.2] |[ 
1 


16.4.2] 
168.1.199] 
16.4.2 


1 
1 
1 168.1.199] 

1 16 4 2 T 


168.1.200] 
168 1.199] 
168-1.200] 
168 1.199] 


168.1.199] 
168.1.200] 


7-90 


TCP 三 次 握手 流程 分 析 介绍 如 下 。 
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e@ 观察 图 7-90 中 【No] 框 中 “9” 的 数据 包 ， 可 以 看 出 源 卫 为 172.16.4.2 的 源 主 机 使 用 目标 
端口 21， 源 端口 1043 向 目标 卫 为 192.168.1.199 的 目标 主机 发 送 SYN 同步 信息 ， 这 是 第 
一 次 握手 。 

e@ 观察 图 7-90 中 【No] 框 中 “10” 的 数据 包 ， 可 以 看 出 源 卫 为 192.168.1.199 的 源 主机 使 用 
源 端口 21， 目 标 端口 1043 向 目标 卫 为 172.16.4.2 的 目标 主机 发 送 SYN 同步 信息 和 ACK 
确认 信息 ， 这 是 第 二 次 握手 。 

@ 观察 图 7-90 中 【Noj 框 中 “11” 的 数据 包 ， 可 以 看 出 源 卫 为 172.16.4.2 的 源 主机 使 用 目 
标 端口 21， 源 端口 1043 向 目标 于 为 192.168.1.199 的 目标 主机 发 送 ACK 确认 信息 ， 这 是 
第 三 次 握手 。 


WQS) 从 捕获 的 数据 中 可 以 看 出 登陆 FTP 服务 器 需要 对 账户 和 密码 进行 验证 ， 如 图 7-91 所 示 。 


t_10 Wbps) 一 


19/30 Waicaewa Frames] 


EE apture Displey 
| » | sl | | | [poocn | 
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168 IT 199]|T 
168-1-200] 


168 1 199]|1TCE ，D 
168.1.199] 


Epen A oecooe KM KHost Tobe APratoca Dat AST 
Por Help, press FL i 的 
图 7-91 

FTP 身份 验证 过 程 分 析 介 绍 如 下 。 


@ 观察 图 7-91 中 【No]】 框 中 “19” 的 数据 包 ， 可 以 看 出 源 IP 为 172.16.4.2 的 源 主 机 使 用 端 
口 1043， 向 目标 卫 为 192.168.1.199 的 目标 主机 发 送 “USER ssh” 意 为 用 户 名 为 ssh 的 信 

@ 观察 图 7-91 中 【No] 框 中 “22?” 的 数据 包 ， 可 以 看 出 源 卫 为 192.168.1.199 的 源 主机 使 用 
端口 1043， 向 目标 人 为 172.16.4.2 的 目标 主机 发 送 “User name okay，need password” 意 
为 用 户 名 验证 通过 ， 需 要 密码 信息 。 

@ 观察 图 7-91 中 【No】 框 中 “25” 的 数据 包 ， 可 以 看 出 源 了 P 为 172.16.4.2 的 源 主机 使 用 端 
口 1043， 向 目标 IP 为 192.168.1.199 的 目标 主机 发 送 “PASS 13298175715” 意 为 密码 为 
13298175715 的 信息 。 

@ 观察 图 7-91 中 【No] 框 中 “28” 的 数据 包 ， 可 以 看 出 源 全 为 192.168.1.199 的 源 主机 使 用 
端口 1043， 向 目标 卫 为 172.16.4.2 的 目标 主机 发 送 “230 User logged in，proceed” 意 为 用 
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户 登陆 成 功 的 信息 。 
7.4.5 ”分 析 造 成 网 络 速度 慢 的 原因 


在 日 常 的 网 络 管理 过 程 中 ， 经 常 碰 到 的 问题 不 是 网 络 不 通 ， 而 是 网 络 的 速度 莫名 其 妙 的 变 得 
很 慢 ， 但 是 找 不 到 原因 。 这 时 可 以 借助 Sniffer Pro， 通 过 对 Sniffer 的 HostTable 和 Matrix 进行 分 析 
可 以 轻松 找到 网 络 速度 慢 的 原因 。 

具体 操作 步骤 如 下 。 


I01 选择 【Monitor】〗 (监控 ) > 【HostTable】〗 (主机 列表 ) 菜单 命令 ， 打 开 Sniffer 的 主机 
列表 监控 功能 窗口 ， 可 以 看 到 哪些 主机 在 某 段 时 间 内 传输 的 数据 特别 多 ， 如 图 7-92 所 示 。 
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12539150.21 0 1| o 4 o 0| 20110612172847112.464 | 2011.061217.28 
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I02 选择 【Monitor】〗 (监控 ) >【Matrix】〗 (矩阵 ) 菜单 命令 ， 打 开 Sniffer 的 矩阵 监控 功能 。 
通过 【Matrix】 人 矩阵 监控 功能 查看 数据 传输 特别 多 的 那些 主机 都 在 和 什么 主机 通信 ， 如 图 7-93 所 
示 。 如 果 发 现 这 些 主机 在 某 些 特定 的 时 段 传输 数据 量 特别 大 并 且 是 和 大 量 的 不 同 主机 进行 并 发 连 
接 ， 这 时 候 就 可 以 怀疑 是 这 些 主机 在 进行 p2p、BT 下 载 或 者 是 中 蠕虫 病毒 ， 导 致 网 络 效率 底下 ， 
影响 到 了 网 速 。 


网 络 流量 监测 分 析 ”第 7 这 


Tramc Map 


Yor Nelp, press 于 Ss E33 产 及 


图 7-93 


7.4.6 ”查找 网 络 ARP 攻击 源 


在 局 域 网 通信 的 过 程 中 , 当 源 主机 在 请 求 ARP 解析 的 时 候 , ARP 攻击 者 伪装 目的 主机 的 MAC 
地 址 返回 给 源 主机 ， 这 时 源 主 机 就 会 对 接收 到 的 错误 目标 MAC 地 址 进行 访问 ,使 得 网 络 内 部 出 现 
大 量 的 无 用 广播 流量 影响 网 络 效 率 ， 这 就 是 ARP 攻击 或 者 是 ARP 欺骗 。 

通过 Sniffer Pro 查找 网 络 ARP 攻击 源 的 具体 操作 步骤 如 下 。 

01 在 Sniffer Pro 的 操作 界面 单 击 菜单 【Capture〗 ( 捕捉 ) >【Define Filer】〗 ( 定义 过 滤器 ) 
菜单 命令 ， 弹 出 【Define Filter - Capture〗 (定义 捕捉 过 滤器 ) 对 话 框 ， 单 击 【Profiles〗 ( 配置 文 
件 ) 按钮 ， 如 图 7-94 所 示 。 


[esine rilter — Coptore “0 到 i 
Sunnary |Address | Data Pattern | Advanced | Buffer | Seliings For. 


Buffer sire: 6 Neg Byte 
Buffer action: Wrap 


Beset 
取消 Profiles, 
图 7-94 


02 弹出 【Capture Profiles〗 ( 捕捉 配置 文件 ) 对 话 框 ， 单 击 【New]】 (新 建 ) 按 钮 ， 如 图 7-95 
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rs rrocilea 人 


了 rofiles 


| 
maete | 
Benane .| 


图 7-95 


I03) 弹出 【New Capture Profile】〗 ( 新 的 捕捉 配置 文件 ) 对 话 框 ， 在 【New Profile Name】〗 ( 新 
的 配置 文件 名 字 ) 文本 框 输入 过 滤器 的 名 字 “ARP” ， 单 击 【OK] ( 确定 ) 按钮 ， 一 个 新 的 过 滤 
器 创建 完成 ， 如 图 7-96 所 示 。 
了 


Hew Profile Name: 
bar | Cancel 


(© Copy Existing Profile: 
Default 了 


© Copy Sample Frofile: 
Apple Talk 区 
图 7-96 


to 约 返回 【Capture Profiles〗 ( 捕捉 配置 文件 ) 对 话 框 ， 单 击 【Done】〗 (是 ) 按钮 ， 如 图 7-97 
所 示 。 


了 天 
Erofiles 
Default Done | 
[Cie 
Delete | 
Benane... | 
图 7-97 


59) 返回 【Define Filter 一 Capture】〗 ( 自 定义 捕捉 过 滤器 ) 对 话 框 ， 选择 【Advanced】〗 (高 级 
的 ) 选项 卡 ， 选 中 【JP ARP] 协议 ， 一 个 新 的 ARP 协议 过 滤器 创建 完成 ， 如 图 7-98 所 示 。 
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Define Filter — Capture ?1x| 


Sunmary | hddress | Data Pattern Mvanced |Buffer | Setings For 


Crm 了 
Packet Size Packet Type 
rm | [ora 二 

|IWCRC Error 
All sizes Jabber 本 
取消 | Prefiles 
图 7-98 


to6j 单 击 工具 栏 上 的 【图 】 按 钮 ， 开 始 捕捉 数据 包 ， 如 图 7-99 所 示 。 


[poem 可 | 


单 击 此 按钮 开 
始 捕捉 数 据 


Urgent Pt 
No TCP opt 


CE 
Frame padding- 6 bytc= 司 
2 db 69 00 Dec cr et 7 06 00 
00 25 00 73 40 60 80 08 67 Sb sc 16 04 02 2 
02 oa 00 15 19 2% 54 82 23 13 ca 74 50 
2 33 00 00 nowoisoanoon5gnon 

EPE A Decoe A Metre Post Tobie Protocol Drst A Sreetcs 

了 or Help, press 了 1 邢 | Ei E23 EA 

图 7-99 


0 过 一 段 时 间 后 单 击 工具 栏 上 的 按钮 【 国 】， 停 止 捕 所 并 显示 捕捉 到 的 数据 包 情 况 ， 如 图 
7-100 所 示 。 
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[ed| 
| 相交 | 
上 | 
尖 | 划 外 | 机 | 入 | 全 | 区 | 安 | 多 | 全 | 
a IF=TFT Tovieet 国 
单 击 此 按钮 i 
停止 捕 提 加 
wl ll | 划 
Objects | 
nt @ 上 友 


图 7-100 


08j 选择 【Monitor]〗 (监控 ) 二 【Matrix〗 (矩阵 ) 菜单 命令 ， 打 开 Sniffer 的 矩阵 监控 功能 ， 
如 图 7-101 所 示 。 


Traffic Map 


后 
叙 | 
马 | 
她 
S| 
元 


x|-| 


图 7-101 


观察 图 7-101 中 的 数据 通信 ， 如果 发 现 有 某 一 个 主机 正在 和 局 域 网 内 大 量 的 主机 进行 
并 发 连接 ,那么 就 可 以 怀疑 该 主机 中 了 ARP 病毒 或 者 是 人 为 在 进行 ARP 攻击 ， 网 络 
管理 员 应 该 及 时 找到 该 主机 并 采取 相应 措施 。 


09j 在 复杂 的 网 络 环境 中 ,如 果 要 单独 查看 某 个 主机 的 通信 情况 , 比如 查看 他 为 192.168.1.199 
的 主机 通信 情况 ， 右 击 “192.168.1.199”， 在 弹出 的 快捷 菜单 中 选择 【Show Select Node】 (显示 
选择 的 节点 ) 菜单 命令 ， 如 图 7-102 所 示 。 
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了 可 


Traffic Map 


HWide Select Nodes 
Zoom 


Pause Update 
Refresh 
Reset 
Capture 


Define Filter 


Properties, 


图 7-102 


10j 弹出 IP 为 “192.168.1.199” 的 主机 的 


情况 的 矩阵 信息 ， 如 图 7-103 所 示 


二 | 口 | | 


Traffic Map 


图 7-103 


如 果 该 主机 正在 和 大 量 的 外 网 主机 并 发 通信 并 有 大 量 的 数据 包 传 输出 现 , 就 有 可 能 是 
该 主机 正在 进行 PPP、BT 等 下 载 ， 如 果 该 主机 正在 和 大 量 内 网 主机 并 发 通信 ， 则 有 
可 能 中 了 ARP 病毒 、 蠕 虫 、 或 者 是 人 为 的 安装 了 P2P 攻击 软件 ， 并 且 正 在 进行 ARP 
攻击 ， 这 时 网 络 管理 员 就 可 以 根据 卫 或 者 MAC 地 址 找到 该 主机 ， 然 后 采取 相应 措 


施 。 


旨 
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7.5 专家 答疑 


(1) 安装 Sniffer Pro 软件 ， 打 开 软 件 包 后 ， 软 件 的 界面 显示 不 完整 ， 或 者 有 时 候 会 显示 网 页 
显示 不 完整 ， 应 该 怎么 解决 ? 
答 : Sniffer Pro 的 界面 显示 需要 Java 的 JDK 支持 ， 安 装 JDK 即 可 。 有 的 时 候 安 装 完 JDK 再 
打开 Sniffer Pro 后 , 也 会 出 现 网 页 错误 的 提示 , 这 是 因为 计算 机 的 正版 本 过 低 , 升级 正版 本 即 可 。 
(2) 安装 完 Sniffer Pro 后 进行 数据 包 捕捉 , 可 是 在 菜单 栏 【Capture】( 捕 捉 ) 菜单 中 【Stop and 
Display】 (停止 并 显示 ) 选项 却 是 灰色 的 ， 使 得 无 法 停止 数据 包 的 捕捉 ? 
答 : 关于 捕捉 数据 包 后 无 法 停止 数据 包 捕 捉 的 问题 , 一 般 是 因为 Sniffer Pro 没有 正常 捕捉 到 数 
据 包 ,这 时 候 就 需要 考虑 Sniffer Pro 的 安装 位 置 是 否 合适 , 或 者 Sniffer Pro 监听 网 卡 是 否 没 有 监听 
到 数据 包 。 
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随 着 企业 信息 化 的 发 展 ， 企 业 的 办 公 越 来 越 依赖 网 络 ， 一 个 高 效 的 网 络 就 成 为 企业 办 公 的 必 
要 保障 。 并且 随 着 企业 信息 化 建设 的 不 断 发 展 ， 各 种 网 络 应 用 、 网 络 流量 以 及 员工 规模 都 在 不 停 的 
增长 , 企业 网 络 带 宽 往 往 由 于 分 配 不 合理 , 或 者 员工 的 上 网 行为 得 不 到 很 好 的 管理 控制 , 导致 企业 
重点 应 用 出 现 访问 迟缓 甚至 无 法 访问 的 情况 , 这 时 候 就 需要 一 个 高 效 的 网 络 监管 分 析 工 具 ， 时 刻 对 
员工 的 上 网 行为 和 网 络 带宽 分 配 进 行 监测 ， 合 理 的 分 配 带 宽 使 用 ， 提 高 网 络 利用 效率 。 


8.1 网 络 监管 系统 的 意义 


随 着 信息 化 在 企业 中 的 普及 ， 各 个 公司 对 网 络 的 要 求 也 越 来 越 高 ， 网 络 运行 的 良好 与 否 已 经 
成 为 公司 效率 高 低 的 一 个 衡量 标准 。 但 是 在 网 络 出 现 故 障 的 很 多 时 候 , 网 络 管理 员 不 知道 该 从 什么 
地 方 查找 故障 ， 在 平时 也 找 不 到 好 的 方法 预防 故障 。 这 时 候 就 需要 用 到 网 络 监管 分 析 , 合理 的 限制 
和 分 配 网 络 资源 ， 对 所 有 用 户 的 上 网 行为 进行 严格 监控 并 记录 在 案 ， 以 备 日 后 查询 。 

同时 ， 公 司 的 各 种 内 部 机 密 信息 也 有 可 能 被 员工 无 意 中 通 过 邮件 或 者 FTP 等 方式 发 送 给 外 部 
人 士 , 这 给 公司 的 信息 机 密 带 来 很 大 威胁 ,而 网 络 监管 可 以 进行 关键 字 过 滤 ， 防止 公司 信息 在 网 络 
中 进行 传输 。 

公司 的 信息 监管 需要 和 网 络 管理 需求 都 促使 了 网 络 监管 工具 的 产生 ， 合 理 的 使 用 网 络 监管 分 
析 工 具 可 以 有 效 的 提高 公司 办 公 效 率 和 网 络 运行 效率 。 


8.2 主流 监控 产品 


要 进行 网 络 监管 分 析 , 就 需要 具备 有 利 的 监控 产品 。 下 面 介绍 市 场 上 主流 的 监控 产品 Red Eagle 
和 网 路 岗 。 


8.2.1 网 络 监管 专家 一 Red Eagle 


网 络 监管 专家 一 Red Eagle 是 专门 针对 企业 网 络 管理 开发 的 ， 是 公司 管理 和 公司 网 络 管理 中 不 
可 缺少 的 一 个 好 工具 。 网络 监管 专家 可 以 帮助 网 络 管理 员 全 面 的 掌握 员工 上 网 行为 , 根据 员工 角色 
的 不 同 严 格 规范 员工 的 上 网 行为 , 同时 能 够 根据 公司 的 需要 引导 员工 更 合理 的 利用 工作 时 间 , 通过 
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对 各 种 网 络 资源 下 载 和 对 各 种 娱乐 网 站 、 娱 乐 视频 的 限制 ， 大 大 提高 了 工作 效率 。 

另外 针对 公司 内 部 机 密 信息 ， 网 络 监管 专家 可 以 对 员工 的 邮件 ， 通 信 记 录 进 行 关键 字 过 渡 ， 
时 刻 保 护 公司 内 部 私密 资料 的 安全 ， 并 且 通 过 日 志 的 归 类 和 记录 ， 提 供 追 查 私密 资料 泄露 的 依据 ， 
确保 各 种 网 络 资源 被 合理 、 高 效 的 使 用 。 

同时 ， 该 软件 还 提供 了 各 种 局 域 网 内 协同 工作 的 便利 机 制 。 它 广泛 适用 于 各 种 政府 机 构 、 企 
事业 单位 、 工 厂 、 医 院 、 网 吧 、 学 校 等 的 内 部 网 络 ， 可 以 非常 方便 的 完成 集中 监控 管理 任务 。 


8.2.2 ”网 路 岗 七 代 网 络 监管 工具 


网 路 岗 七 代 作为 一 款 行业 领先 的 局 域 网 管理 监控 软件 产品 ， 在 国内 同类 软件 产品 中 市 场 占有 
率 达 到 第 一 , 并 且 经 过 多 年 的 更 新 升级 ,目前 网 路 岗 最 高 版 本 为 第 七 代 。 和 旧 的 版 本 相 比 ， 最 新 版 
本 的 网 路 岗 网 络 监管 工具 不 仅 性 能 齐全 , 其 稳定 友好 的 操作 界面 也 深 受 网 络 管理 人 员 的 喜爱 。 下 面 
简要 介绍 网 路 岗 七 代 网 络 监管 工具 的 主要 功能 。 图 8-1 为 网 路 岗 七 代 的 主 操作 界面 。 


[7 i 
日志 所 。 系统 山 ， 报警 (0) 消息) 工具 四 显示 他 帮 肋 罗 

KO 拓 | 画 | 全 全 .g 
:现场 观察 “ 训 览 日 志 搜索 日 志 内 网 管控 。 捕 包 规则 。 操作 权限 二 
监控 配置 2 | | 


人 问 全 局 定义 / 失 则 
Pia 
三 不具 苍 上 网 6 为 
加 此 给 堪 品 
侈 TT 黑 名 息 
到 TP 白 名 息 


网 路 岗 七 代 的 主要 功能 包括 如 下 。 


(1) QQ/MSN 聊天 内 容 全 纪录 (不 需要 安装 客户 端 )， 限 制 登录 指定 的 QQ 号 ，MSN 账号 ; 
(2) 记录 / 封 堵 BBS/ 申 请 服务 /发 表 文 章 (外 发 尺寸 限制 )、 博 客 /空间 发 表 文 章 等 ; 

(3) 邮件 监控 功能 ， 监 控 网 页 发 送 邮 件 内 容 及 附件 和 客户 端 (包括 smtp/pop3) 收 发 的 邮件 ; 
(4) 提供 全 面 的 过 滤 规 则 ， 对 相关 的 网 站 进行 过 滤 及 封 堵 原因 记录 ; 

(5) 敏感 行为 的 实时 报警 (声音 报警 /邮件 报警 /GSM 报警 ); 

(6) 封 堵 常用 网 络 软件 (QQ/BT/ 电 驴 /MSN 等 等 ); 

(7) 支持 网 桥 ，NAT 代理 上 网 监控 ; 

(8) FTP 上 传 文件 的 记录 ; 

(9) 通过 安装 插件 还 可 以 控制 电脑 的 USB 存储 ， 截 取 电脑 的 屏幕 ， 监 控 电 脑 里 的 文件 ; 
(10) 网 络 流量 监控 ， 可 监控 局 域 网 内 电脑 的 时 流量 ， 包 括 上 行 流量 和 下 行 流量 的 大 小 
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(11) 自动 实时 员工 上 网 评价 ， 自 定义 不 规范 上 网 行为 ; 
(12) 网 路 岗 新 增 局 域 网 限 速 功能 ， 可 以 有 效 控制 局 域 网 内 电脑 文件 的 上 传 ， 下 载 速度 。 


8.3 项 目 实施 : 使 用 网 路 岗 进行 网 络 监管 


网 路 岗 七 代 网 络 监管 工具 是 一 款 非常 成 熟 的 网 络 监管 分 析 软 件 ， 通 过 软件 的 部 署 ， 可 以 轻松 
对 企业 内 部 的 计算 机 的 上 网 行为 进行 严格 监管 , 提高 网 络 运行 效率 。 对 员工 对 外 通信 进行 关键 字 过 
滤 , 保护 了 内 部 私密 信息 , 同时 网 路 岗 七 代 日 志 对 员工 上 网 行为 进行 归档 和 记录 , 为 日 后 出 现 网 络 
故障 和 信息 泄密 情况 提供 分 析 依 据 。 

和 网 路 岗 六 代 相 比 ， 网 路 岗 七 代 又 增加 了 很 多 新 的 功能 ， 下 面 将 针对 网 路 岗 七 代 的 主要 功能 
做 讲解 。 


8.3.1 安装 和 注册 网 路 岗 七 代 

1. 选择 网 路 岗 七 代 安 装 的 位 置 

如 果 要 利用 网 路 岗 对 用 户 进行 流量 限制 ， 网 路 岗 的 安装 位 置 则 特别 重要 ， 因 为 安装 位 置 决定 
了 是 否 能 够 充分 发 挥 网 路 岗 的 功能 。 网 路 岗 的 安装 位 置 一 般 有 以 下 两 种 选择 。 

(1) 网 路 岗 配 置 双 网 卡 网 桥 模式 。 


(2) 网 路 岗 安装 在 代理 服务 器 上 进行 带宽 控制 , 网 络 限 速 。 比如 安装 在 ISA 服务 器 、Windows 
Server 2003 代理 服务 器 上 等 。 


在 本 章 的 实例 中 ， 网 路 岗 七 代 软件 安装 位 置 采用 第 二 种 ， 如 图 8-2 所 示 。 


C Internet ) 


安装 网 路 岗 七 代 监控 
软件 的 代理 服务 器 


企业 内 网 客户 机 


图 8-2 
2. 安装 网 路 岗 七 代 网 络 监管 软件 
网 路 岗 七 代 监控 软件 分 为 服务 器 端 软件 和 客户 端 软 件 ， 一 般 情 况 下 只 需要 在 服务 器 端 安装 服 
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务 器 软件 ， 在 安装 的 时 候 注意 正确 选择 。 

安装 网 路 岗 七 代 监管 软件 的 具体 操作 步骤 如 下 。 

iOJ 双击 网 路 岗 七 代 监管 软件 的 服务 器 端 安装 文件 ， 在 弹出 的 【网 路 岗 .第 七 代 】 安 装 对 话 框 
中 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 8-3 所 示 。 


当 《网 路 岗 - 第 七 代 》 InstallShield ard | 


欢迎 使 用 【网 路 岗 第 七 代 】 产 品 ! 


官方 网 站 : http//www.softbar com 
技术 邮箱 ，service@softbar com 
研制 单位 ， 深 圳 市 德尔 软件 技术 有 限 公司 


a 取消 


图 8-3 


tQ3 弹出 【许可 证 协议 〗 对 话 框 ， 选 择 【 我 接受 该 许可 协议 中 的 条 款 】 单 选 按钮 ， 表 示 同 意 
网 路 岗 第 七 代 的 安装 许可 协议 ， 单 击 【 下 一 步 】 按 钮 ， 如 图 8-4 所 示 。 


汉 《 网 路 岗 第 七 代 》 -InstallShisLa 有 GE | 


许可 证 协议 \ 
请 仔细 阅读 下 面 的 许可 证 协议 。 


1 《网 路 岗 》 受 著作 权 法 及 中 国 和 国际 著作 权 条 约 和 其 它 知识 产权 法 及 条 约 的 保护 ， 其 所 有 知识 


| 产权 归 深圳 市 德尔 软件 公司 所 有 。 


jz、 本 软件 产品 包括 但 不 限于 本 软件 产品 中 所 含 的 任何 图 象 、 照 片 、 动 画 、 录 像 、 录 音 、 音 
| 乐 、 文 字 ) 和 随 附 的 帮助 材料 、 及 本 软件 产品 的 任何 副本 的 一 切 所 有 权 和 知识 产权 均 由 开发 者 
| 骨 有 。 用 户 不 得 单独 复制 和 修改 这 些 材料 。 


用 户 不 神 对 本 软件 产品 进行 反 向 工程 、 反 向 编译 或 反 汇 六 ; 不 得 自行 对 软件 和 授权 盒 进行 解 


|。 图 户 本 LI 站 南 性 二 下 都 ， 安 里、 复制 有 的 常 术 软 件 的 并用 断 产 只 。 加 里 过 要 漠 行 商 届 人 的 .到 


Instalshied 


图 8-4 


t@Q3j 弹出 【保存 文件 的 位 置 】 对 话 框 ， 单 击 【 更 改 〗 按 钮 ， 自 定义 网 路 岗 七 代 网 络 监管 软件 
的 安装 路 径 ， 本 实例 中 采用 默认 安装 路 径 “C:\Program Files\softbar.com\Sentry7”， 单 击 【 下 一 步 】 
按钮 ， 如 图 8-5 所 示 。 


图 8-5 
9 旨 网 路 岗 第 七 代 网 络 监 管 软件 安装 正在 继续 ， 并 显示 安装 进度 ， 如 图 8-6 所 示 。 


[x 


图 8-6 
tog 正在 安装 网 路 岗 第 七 代 的 各 种 服务 ， 等 待 安装 服务 界面 消失 ， 就 意味 着 网 路 岗 七 代 监 管 


软件 安装 结束 ， 如 图 8-7 所 示 。 


8-7 


tQ@j 双击 桌面 上 的 【网 路 岗 7】 快 捷 方式 ， 打 开 网 路 岗 的 操作 界面 ， 单 击 【 产 品 信息 】 按 钮 ， 
如 图 8-8 所 示 。 


SEPA 


中 小 蜡 企 业 网 络 管 理 实战 委 典 基于 Windows 平台 


证 网 路 岗 7 em 
:直系 培 (D 报 寺 (A) 消息 60 工具 日 ”显示 帮 有 4D 
国企 史 司 本 | 芯 角 | 画作 g 
“现场 观察 浏览 日 志 搜索 日 志 内 网 关 控 。 手包 规则 抬 作 权限 。 满 屏 切 换 远程 协助 软件 升级 产品 信息 如 
| E> | 
国 8 人 
汪 库 ER 
黑 电表 同上 /模式 
名 状态 = 
区 加 流量 图 化 么 9 下 加 时 线 “ 才 块 ” 癌 卡 ?什么 铺设 置 * 过 诊 回 丰 w 了 一 2 下 
时 监控 分 布 和 二 一 
加 专项 上 控 居 近 模式 :|1、 基 于 同上 NA C 。 证; 可 实现 著 U LAN 邮 过 
A nsf . 
最 em 吉方 式 :1 、 考 路 监控 注 : 咏 口 镜 坟 /Iub 竺 ”| 
人 全 局 定义 /规则 
病 Ris 定义 
忆 不 规范 上 网 为 0124307698 
回 些 控 端口 
实 Tr 黑 名 单 
允 IT 白 名 间 四 
本 有 - 
图 8-8 
tog 弹出 【关于 网 路 岗 】 对 话 框 ， 单 击 【 注 册 】 按 钮 ， 如 图 8-9 所 示 。 
关于 网 路 岗 x 
网 路 岗 7 
从 版 本 :7.03.76 


计算 机 软件 销售 许可 证 ”产品 备案 须知 


广 授权 信息 
用 户 和 名称: | 注册 | 
产品 序号 : 泌 销 
产品 类 型 : 
功能 描述 : ”| 未 注册 产品 


研制 单位 : ”深圳 市 德尔 软件 技术 有 限 公司 
产品 网 站 :http://www softbar. con (中 文 站 ) 。 英 立 站 
技术 支持 :http://support softbar com 


图 8-9 


iQ8j 弹出 【注册 产品 〗 对 话 框 ， 在 【序列 号 】、【 公 司 名 称 】〗】、【 联 系 人 】、【 联 系 邮箱 】 
和 【联系 电话 〗 对 话 框 中 分 别 输入 相关 信息 ， 然 后 单 击 【 注 册 】 按 钮 ， 如 图 8-10 所 示 。 
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序列 号 : | 
注 :序列 号 由 0"9 A 了 - 组 成 。 


注册 @) | 取消 


图 8-10 
L@gj 弹出 【注册 产品 】 提 示 框 ， 单 击 【确定 】 按 钮 ， 如 图 8-11 所 示 。 
注册 产品 x 


i 注册 完成 ， 请 留意 “功能 描述 ”部 分 ? 


图 8-11 


型 gj 返回 至 【关于 网 路 岗 】〗】 对 话 框 ， 单 击 【 确 定 】 按 钮 ， 表 示 网 路 岗 七 代 网 络 监管 软件 安装 
注册 完成 ， 如 图 8-12 所 示 。 


“关于 网 赂 岗 x 
。 ”网 路 岗 7 | me | 确定 
全 版 本 ;7.03.76 ee 
计算 可 于 件 销售 许可 让 。。 产品 备案 贷 知 
授权 信息 
用 户 名 称 : “| 尖 锋 科技 注册 ， 


产品 序号 : |2682-A373-2FC3-8FF1-1408 
产品 类 型 : | 企业 版 授权 点 数 :20 有 效 期 :2011-07-4 
功能 描述 : ”过 湛 : 人 有》 聊天 内 容 : 有 > 邮件 内 容 : 


8.3.2 ”设置 网 络 监控 模式 


设置 合理 的 网 路 岗 监 控 模 式 有 助 于 更 好 的 监控 网 络 内 部 计算 机 的 数据 流 ， 设 置 网 络 监控 模式 
的 具体 操作 命令 如 下 。 


eS 
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tl 但 双击 桌面 上 的 【网 路 岗 7】 快 捷 方式 ， 打 开 网 路 岗 七 代 监控 软件 的 操作 界面 ， 单 击 【 网 
卡 /模式 】 下 拉 菜 单 ， 勾 选 内 网 网 卡 复 选 框 ， 表 面 检测 流 经 内 网 网 卡 的 所 有 数据 流 ， 本 案例 中 选择 
IP 地 址 为 172.16.4.254 的 网 卡 ， 如 图 8-13 所 示 。 
育 网 路 岗 7 
日 志 (E) 系统 (U) 报警 (A) 消息 (W) 工具 加。 显示 们 ”帮助 (d) 
园 全 六 全 网 扫 /名画 介入 g 


pr 所 名 规则 。 操作 权限 。 满 屏 切 执 全 
x 


岛 ~ 二 
步 省 [ 光 业 版 ] 尖 村 科技 
轩 电表 人 网 /本 式 
名 做 帮 
Sf si| | 
Tr 
区 制品 流量 图 NC se see Moter Ue 108 1.120] RN 
时 ”监控 分 布 
全 专项 监控 临近 模式 :| 1 、 基 于 同上 MA C 。 注 ; 可 实现 路 L AN 监控 
A ui 
训 etsy 上 实 球 方式 ;| 1、 过 路 此 控 。 注 ; 英 口 镜 们 /Yub 等 
人 全 局 定义 /规则 
电 is 定义 
历 不 规范 上 网 行为 
加 此 控油 口 
有 如 I 时 名 间 
邓 TP 自 名 间 - 


图 8-13 
tO3 单 击 【监控 模式 〗 下 拉 菜 单 ， 在 弹出 的 下 拉 菜 单 中 选择 【3、 基 于 卫 〗 选 项 ， 如 图 8-14 
所 示 。 


网 聊 册 7 
日 志 (E) 系统 (J) 报 雪 (A) 消息 (M) 工具 (E) 显示 (V) 帮助 tt) 


加 企 史 司 | 本 必得 | 本 | 全 全 g 


4 
光志 搜索 日 志 内 由 8 近 回 包 规则。 所 作 权限 ” 漠 屏 切 执 ”远程 协助 软件 升级 产品 信息 天 


ER 


网 下 /模式 


剧 | wl ez -| my ml 


如 全 局 定义 /规则 
后 Ris 
移 不 规范 上 同和 为 
回 监控 请 口 
区 IT 时 名 单 
区 TP 白 名 单 v 


图 8-14 
3) 单 击 【 安 装 方式 〗 下 拉 菜 单 ， 在 弹出 的 下 拉 菜 单 中 选择 【2、 挂 靠 方式 〗 选 项 ， 单 击 【 应 
用 更 改 】 按 钮 ， 如 图 8-15 所 示 。 
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网 路 岗 7 ox. 
日 者 E) 系统 (报警 (A) 消息 (M) 工具 (E) 明示 (W 玫 盈 中 


OM 


: - 
:现场 观察 浏览 日 志 搜索 日 志 内 网 管控 。 捕 包 规则 。 操作 权限 。 满 屏 切 换 。 远 有 协助 软件 升级 产品 信息 所 


(es 
网 卡 /模式 


剧 到 | se -| mA eas 


化 么 情况 下 同时 乡 “ 多 块 ” 同 卡 ? 什么 情况 设置 ”过渡 网 卡 "了 


图 8-15 


孝 定 网 卡 x 


网 下 揪 包 名 冲 大 小 
| #1 etwork kaspter [172.16.4 254] 1024K 


| 旨 款 ;>| 取消 | 


图 8-16 


to9gj 返回 至 网 路 岗 操 作 界面 ， 单 击 【 全 部 启动 】〗 按 钮 ， 启 动 网 路 岗 七 代 的 服务 ， 完 成 网 路 岗 
七 代 网 络 监管 工具 的 网 络 监控 模式 设置 ， 如 图 8-17 所 示 。 


‘FA -人 
ED 了 EU WN MEL TIAL SP Wh) 
和 人 仿 司 有 吏 先 角 硬 从 从 
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© 的 同和 站 ER 
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8.3.3 监管 内 部 计算 机 并 设置 监控 状态 


网 路 岗 七 代 监 管 软件 的 主要 功能 就 是 对 内 部 网 络 计算 机 的 上 网 行为 进行 管理 ， 有 了 网 路 岗 七 
代 监 管 软件 , 网 络 管理 员 可 以 很 轻松 的 了 解 网 络 内 部 每 个 计算 机 的 网 络 使 用 情况 , 但 前 提 是 网 路 岗 
七 代 监 管 软件 监管 这 些 计算 机 。 

使 用 网 路 岗 七 代 监 管 软件 监控 网 络 内 部 的 计算 机 的 具体 操作 步骤 如 下 。 


[0M 双击 桌面 上 的 【网 路 岗 7】 快捷 方式 ， 打 开 网 路 岗 七 代 监管 软件 的 操作 界面 ， 单 击 左 侧 
【电脑 列表 】 选 项 ， 单 击 【 扫 措 】 按 银 关 ， 如 图 8-18 所 示 。 

A 报警 内 浙 息 史 工具 E) 显示 WD) 

喇 仓 训 介 殉 绎 明 | 加倍 仿 9 

现场 观察 _ 浏 日 志 提 索 日 志 内 由 关注 。 捕 包 涡 风 。 潍 作 权限 ”请 习 切换。 远程 协助 软 半 升级 产品 训 息 允 

Co 一 Bz | 


Eo || 
证: 系 绍 提示 安装 “上 网 价 " 客 P 峭 半生" 上 陨 


当前 状 帮 :时 控 “7TP 状 者。 所 关 但 不 妈 控 


ne ~» TE 
惑 者 


图 8-18 
I02 弹出 【目标 搜索 】 对 话 框 ， 在 【起 始 IP】〗】 和 【终止 IP】 文 本 框 中 分 别 输入 要 搜索 的 内 


部 网 络 的 IP 地 址 范围 ， 本 案例 中 在 【起 始 IP】〗 和 【终止 IP】 文 本 框 中 分 别 输 入 172.16.4.1 和 
172.16.4.255， 单 击 【 开 始 搜索 〗 按 钮 ， 如 图 8-19 所 示 。 


目标 搜索 x 
ip 范围 | 
起 始 IP : 终止 IF : 
.16 .4 .1 i72 . 16 4 .255 Mal 
0 0 0 .0 Bo 0 0 .0 Mal 
0.0.0.0 上 国 。.o.o.o jl 
0.0.0.0 国 .oo.o.% lm 
开始 搜索 | ”返回 
图 8-19 


tO3j 如 图 8-20 所 示 ， 搜 索 正在 进行 中 。 
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172.16.4.1 => 172.16.4.255 


性 


172.16.4.91 


图 8-20 


io 毕 搜索 完成 后 ， 返 回 至 网 路 岗 七 代 监管 软件 操作 界面 ， 并 显示 扫描 到 的 计算 机 ， 如 图 8-21 
所 示 。 
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图 8-21 


iog 设置 计算 机 的 监测 状态 。 如 图 8-22 所 示 ，, 选择 要 监控 的 计算 机 ,然后 在 右 侧 选择 【监控 】 
单 选 按钮 ， 单 击 【 保 存 】 按 钮 。 


羡 网 路 岗 7 ox 
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£ 
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图 8-22 
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网 路 岗 七 代 监管 软件 对 计算 机 的 监控 状态 有 监控 、VIP 监控 和 封杀 但 不 监控 三 种 ， 如 图 8-22 
所 示 。 
(1) 在 计算 机 卫 地 址 前 面 为 【 令 】 表 示 严 格 监控 。 
(2) 在 计算 机 卫 地 址 前 面 为 【 砚 】 表示 VIP 监控 ， 就 是 不 监控 。 
(3) 在 计算 机 他 地 址 前 面 为 【 贸 】 表 示 直 接 封 杀 不 监控 。 


8.3.4 监管 员工 的 上 网 行为 

使 用 网 路 岗 七 代 监 管 软件 ， 可 以 管理 、 控 制 内 部 员工 的 上 网 行为 ， 下 面 主要 介绍 几 种 常用 的 
上 网 行为 监管 设置 。 

1. 网 页 过 渡 

一 般 来 说 公司 会 允许 员工 访问 一 些 常用 网 站 ， 但 是 很 多 娱乐 网 站 或 者 是 一 些 非 法 网 站 是 禁止 
员工 访问 的 。 通 过 设置 访问 规则 ， 禁 止 员工 访问 非法 网 站 的 具体 操作 步骤 如 下 。 


LO 出 双击 桌面 上 的 【网 路 岗 7】 人 快捷 方式 ， 打 开 网 路 岗 七 代 监管 软件 的 操作 界面 ， 单 击 左 侧 
【电脑 列表 ]】 选项， 任意 选择 一 台 计算 机 ， 单 击 右 侧 【 上 网 规则 ] 右 侧 的 【打开 ]】 按 钮 ， 如 图 8-23 
所 示 。 


六 网 路 出 7 vena 


日志 (EB) 系 壤 () 报警 (A) 消 届 (wD 工具 (E) 显示 (WD 可) 

国企 让 刁 | 四 | 去 | 组 | 本 | 知人 g 
_ 贡 观 泰 _ 济 放 日 吉 要 过 日 志 内 同音 控 。 鞭 但 规则。 嫌 作 可 限 。 测 忆 刀 控 。 运程 协助 欢 和 组 产品 信息 用 
监控 配置 4 x “电脑 清单 9x 本 


站 er 二 TP 夫 址 : 7846.41 
ET 


网 结 带宽 :总 流量 :0 00K 上 行 :0.00X 下 行 :0.00K 
dd 今日 历史 总 演 量 : 


ETT 


图 8-23 


03 弹出 【编辑 “上 网 规则 ”]】 窗口 ， 单 击 【 添 加 规则 】 按 钮 ， 并 将 规则 命名 为 【禁止 员工 
访问 娱乐 网 站 】， 如 图 8-24 所 示 。 
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“ 芭 请 络 - 上 同 是 则 - 
aa) 


出 可 有 得 飞 忆 》 风量 芝 帮 开 
HR re < 
口 大 二 全 本 大 已 
口 ea 是 PS 本 虹 于 
[TS v 
EH 


CH nr) "| 
WA ,FARMN: 四 mw | snc | 
图 8-24 


3 如 果 人 允许 员工 访问 大 部 分 网 站 ， 禁 止 个 别 非法 网 站 ， 则 选择 【URL 过 滤 模式 < 一 >: 常规 
过 滤 】〗 过 滤 模 式 。 勾 选 【 自 定义 禁止 网 站 】 复 选 框 ， 单 击 【打开 ]】 按 钮 ， 如 图 8-25 所 示 。 


站 | 


芯 编 辑 '" 上 网 规则 ” 
:ED) 


图 国 扩 向 


“添加 办 则 全 了 规则 ， 复 制 条 则 导入 规则 文件 > 列表 “导出 :光束 -> 规则 文件 加 


全 只 六 上 eooals 


全 Ww Filter 
忆 禁止 员工 访问 九 乐 网 站 


TriSitel tt 了 ] I 


过 涛 模式 伍 海 且 过 尖 库 


Eee ,| 局 Nama 请 
新 电 及 加 入 时， 大 和 顷 则 :| 宇 > i 再) | 及 


图 8-25 
0 旨 弹出 过 滤 规 则 文件 ， 在 里 面 输入 要 禁止 网 站 网 址 的 关键 字 。 比 如 本 实例 中 笔者 不 允许 内 
部 员工 访问 qq 空间 ， 则 qq 空间 网 址 中 有 一 个 关键 字 为 qzone， 则 将 qzone 写 入 该 文件 中 ， 所 有 含 
有 qzone 字母 的 网 址 都 打 不 开 。 当 然 本 实例 如 下 所 示 ， 添 加 了 qzone、xunlei、qq 等 关键 字 。 单 击 
【保存 】 按 钮 ， 然 后 单 击 该 文本 右上 角 的 【关闭 】〗 按 钮 名， 将 该 文本 关 掉 ， 如 图 8-26 所 示 。 


“205“。 


中 小 型 企业 网 络 管 理 实战 生 典 -基于 Windows 平台 


BC \Prozraa Files\softbar con\SentryT\ETC\ID\Keyter dT te 


人 情史 提示 符号 "# 是 注释 符 , 每 行文 字 中 所 有 在 -六 系 王 攻 作 下 有 
i 


| 峙 恨 如 想 过 源 sins 的 网 站 , 就 输入 sins 即 可 


ti 用 来 控制 下 载 文件 


KK 


竺 中 文 关键 词 ， 比 如 在 googl econ bsi dn eon 上 面 的 搜索 的 中 文 内 容 


图 8-26 
to9 返回 至 【编辑 “上 网 规则 ”】〗 对 话 框 ， 单 击 【 更 新 规则 => 禁 止 员 工 访问 娱乐 网 站 】 按 钮 ， 
然后 单 击 【 确 定 〗 按 钮 ， 完 成 上 网 规则 的 设置 ， 如 图 8-27 所 示 。 


『 志 编辑 "上 网 规 m” 
:规则 E) 
5 
: 咽 四 % 回 
“添加 规则 删除 规则 ”复制 规则 导入 :规则 文件 -> 列表 导出 :列表 -> 规则 文件 二 
| 同 页 过 小 | 流量 限制 下载 类 型 ”网 络 软件 IF 过 小 ”端口 过 小 外 发 尺 


[Lams 称 
它 只 人 许 Feooas Gi) 
己 禁止 员工 访问 如 乐 网 站 
A EL 这 汉 模式 < 一 > 常规 过 放 
er Filter 
7 自 定义 禁止 网 站 (包括 扫 索 关键 词 ) 
KeyWordsl. txt "| 打开 -| 
六 末 过 涛 模式 所》 严格 限制 访问 网 站 
只 允许 访问 与 工作 学 习 有 关 的 网 站 | 
WorkSitel. txt -] [#0 二 | 
EL 过 泊 模 式 伍 》 海 有 过 泥 库 
PO 
下 良 网 站 列表 库 色情、 暴力 
更 新 规则 => 禁 口 财经 信息 网 站 列表 库 (股票 、 
Se 口 驯 天 网 站 列表 库 。 - 
止 员 工 访 问 娱乐 MO 
目 = 局 用 选项 的 时 间 段 (单位 : 半 小 时 ) | 过 小 方式 | 


更 新 规则 => | 
新 电脑 入 时 ,套用 规则 : | 人 > -| 确定 0) 取消 亿 ) 
图 8-27 


i06j 如 果 要 制定 更 加 严格 的 上 网 规则 ， 只 允许 员工 访问 个 别 网 站 ， 其 他 的 网 站 一 律 禁 止 ， 则 
可 以 使 用 【URL 过 滤 模式 < 二 >: 严格 限制 访问 网 站 】〗】 过 滤 模 式 。 单 击 【 添 加 规则 】 按 钮 ， 并 将 规 
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则 命名 为 【允许 员工 访问 公司 网 站 】. 勾 选 【只 允许 访问 与 工作 学 习 有 关 的 网 站 】 复 选 框 , 单 击 【 打 
开 】 按 钮 ， 如 图 8-28 所 示 。 


A cai 


= 
添加 规则 删除 规则 


复制 规则 导入 :规则 文件-> 列 表 导出 :列表 -> 规则 文件 后 


自 建 人 “| 网 员 过 流 | 流量 限制 “下 载 类 型 “FS 滞 软件， 工 过 沽 ”该 口 过 沽 “外 发 民 “ ， 


规则 名称 
居 RT 上 eooge ER) 


er Filter 
ee -过 湖 模 式 人 一 >: 第 规 过 小 
@| 忆 
一 一 自 定 义 革 止 网站 (包括 检索 关 刍 局) 
Keygorasl txt - 打开 


只 允许 访问 与 工作 
学 习 有 关 的 网 站 


中 过 源 和 模式 全 > 海量 过 渤 库 
过 渤 有 表 库 < 
口 对 各 信息 同 站 列表 诛 伐 村 、 | 
贡 小 网 站 列表 库 。 ~ 


目 = 局 用 过 项 的 时间 及 间 位 : 半 小 时 ) | 过 沁 广 式 


图 8-28 


tQ 弹出 规则 设置 文件 ,在 该 文件 中 添加 需要 打开 的 网 站 ,注意 只 需要 输入 网 站 的 域名 即 可 。 
本 实例 中 允许 员工 访问 网 易 网 页 ， 则 输入 163.com 即 可 。 单 击 【保存 】 按 钮 ， 然 后 单 击 该 文本 右上 
角 的 【关闭 〗 按 钮 区 |， 将 该 文本 关 掉 ， 如 图 8-29 所 示 。 


图 8-29 


SO 


中 小 型 企业 网 络 管 理 实战 室 典 -基于 Windows 平台 


to8j 返回 至 【编辑 “上 网 规则 ”】〗 对 话 框 ， 单 击 【 更 新 规则 => 允 许 员工 访问 公司 网 站 】 按 钮 ， 
然后 单 击 【 确 定 】〗】 按 钮 ， 完 成 上 网 规则 的 设置 ， 如 图 8-30 所 示 。 


< 搞 纤 上 同 规 M" sm 
= 规则 E) 


i 大 国 | % 


“利加 规则 出 有 规则 。 复制 规则 。 导 入; 才 则 立 件 .> 区 表 导出 ;列表 -> 规则 立 件 三 


现 则 名 称 他 娃 人 | | 风流 | 辩 量 曝 制 “下 载 关 起 “网络 软件 ， 匡 过 党 ， 靖 口 过 小 外 发 尺 “ 
多 只 训 夺 上 gooale 量 斌 ) 
侈 竺 止 丙 工 访问 娱乐 3 
安放 许 碘 访问 公司 9 
多 Ben Filter 
| 
ET 
| 口 不 ER 网 沪 到 天 让 人情、 最 旋 | 
| 口 时 笃信 息 网 站 刀 表 蔡 入 更 
| 口 gj 到 Ra 下- 
UL 
目 = 用 过 项 时 亲自 单位: 半 小 时 ) | 这 沽 万 天 | 
一 | RM 之 we | 
新 电 及 加 入 时 ， 庆 用 规则 : | <z> - OO | RNGC | 


图 8-30 


9 返回 至 网 路 岗 七 代 网 络 监 管 软件 操作 界面 。 选 中 要 限制 访问 网 站 的 计算 机 ， 本 实例 中 笔 
者 选择 卫 地 址 为 172.16.4.1 的 计算 机 ， 然 后 单 击 【 上 网 规则 】 下 拉 菜 单 ， 在 弹出 的 下 拉 菜 单 中 选 
择 【 禁 止 员工 访问 娱乐 网 站 】 规 则 文件 ， 单 击 【 保 存 〗 按 钮 ， 如 图 8-31 所 示 。 


网 陪 剖 7 emer 

BE) FD BWA MEL ITAL SFY 让 St 

SR 加 | 忌 组 

Han me was npme A mp 
一 


图 8-31 


加 返回 至 网 路 岗 七 代 网 络 监 管 软件 操作 界面 ， 此 时 下 地 址 为 172.16.4.1 的 计算 机 就 会 受到 
上 网 规则 的 限制 ， 如 图 8-32 所 示 。 
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WHS 

ED Fi) BWA Mg0D IAD RF Woy 

图 企 咏 和 | 四 | 芭 | 委 | 司 | 介 后.@ 

现场 基 要 “本 六 日 志 理 间 日 过 内 REE 和 入 各 二 。 淮 作 生 。 油 笃 训 扫 。 场 简 堆 助 条 并 升 三 产 吕 和 二 

ER EE 了 天 

EE ror 2 EE #0 -nn mm»| 
f Ex 0 


名 是 vBINAN es EE = -nnn [ee| 


ri ~ i er | ea。 | oz | ao] 
图 8-32 
2. 禁止 BT、P2P 等 下 载 


随 着 BT、P2P 的 流行 ， 员 工 在 上 班 时 间 进 行 资源 下 载 ， 往 往 会 造成 网 络 带宽 的 极 大 浪费 ， 甚 
至 影响 到 其 他 员工 正常 的 网 络 访问 ， 因 此 必须 对 网 络 下 载 进行 限制 。 
使 用 网 路 岗 七 代 网 络 监管 软件 进行 下 载 限 制 的 具体 操作 步骤 如 下 。 


加 双击 桌面 上 的 【网 路 岗 7】 快 捷 方式 ， 打 开 网 路 岗 七 代 网 络 监管 软件 的 操作 界面 ， 单 击 
左 侧 【电脑 列表 ]】 选 项， 任意 选择 一 台 计 算 机 ， 单 击 右 侧 【 上 网 规则 】 后 面 的 【打开 ]】 按钮 ， 如 图 
8-33 所 示 。 

IE 
人 二 人 sn 。 导 由 


XX 。 呈 助 两 刍 9 
| 


Lr = nm | 
上 


省 : 订 笠 YI 居 击 。 提亲 们 不 这 


[| Sr 9 a 


PE ~ TE ns eee Mrs | | a | 


图 8-33 


to3 弹出 【编辑 “上 网 规则 ”】〗 对 话 框 ， 单 击 【 添 加 规则 】 选 项 ， 并 将 规则 命名 为 【禁止 员 
工 进行 下 载 】， 如 图 8-34 所 示 。 


中 小 蜡 企 业 网 络 管 理 实战 富 典 基于 Windows 平台 


去 缚 咕 "上 网 其 0 
二 Mak 

是 | 

添加 纲 阳 队 强风 所 蚀 六 风 ” 号 入 着 则 文件 -> 列表 号 二 列表-> 表 则 XX 入 吕 
、 | 网页 可 大 让 流 限制 下 描 类 型。 网络 软件 二 过 泥 。 疾 口 过 泥 外 长 尼 “| 


-过 涯 合式 < 一 -第 失 过 流 
一 目 定义 村 上 5 (四 后 可 过 庆 甸 己 ) 


0 过 沽 俐 式 忆 》 再 档 下 制 沪 问 网 站 
只 允许 矶 同 与 工作 字 习 有 天 的 网 站 


口 对 至 六 息 网 站 列表 庄 最 票 、 
了 天 FA 列 表 库 。 


Nn 
目 -局 用 志 基 的 叶 可 段 单 袜 : 半 时 | 过 源 方 式 。， | 


图 8-34 


to3j 选择 【流量 限制 〗 选 项 卡 ， 选 择 【限制 上 行 和 下 行 流量 】 单 选 按钮 ， 在 【上 行 〗 和 【下 
行 】 文 本 框 中 分 别 输入 要 限制 的 带宽 。 本 实例 中 限制 上 行 带宽 为 30KB， 下 行 带宽 为 80KB， 如 图 


8-35 所 示 。 


过 编辑 "上 网 息 则 " 
“UE 
i 了 
:上 呈 国 贞 局 
闫 加 规则 骨 障 规则。 复 提 | 规 风 | 导入 : 规 出 女 件 -> 天 村 导出 : 弄 丰 -> 规则 立业 三 
人 | 网 对 瞩 | 光量 限 币 | 下 载 关 型 “网 他 软 串 “过 渤 ， 庙 口 过 请 “外 发 尺 “| 
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5 Ey 部 
To 


| 


新 员 MAH, 室 山 则 : [<> bd | 
图 8-35 


io 外 选择 【下 载 类 型 〗 选项 卡 ， 在 【禁止 下 载 下 列 类 型 文件 】 选 项 列表 中 勾 选 不 允许 员工 下 
载 文件 的 类 型 。 如 果 某 些 文件 类 型 不 在 该 列表 中 ， 可 以 单 击 【添加 】 按 钮 进行 添加 。 设 置 完成 后 ， 
单 击 【更 新 规则 一 禁止 员工 进行 下 载 】〗】 按 钮 ， 然 后 单 击 【 确 定 】 按 钮 ， 如 图 8-36 所 示 。 


.210 。 
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“ 避 编 辑 "上 网 规则 cs 
: 规则 


各 国 % 名 


; 二 加 规则 划 队 规则 复制 规则 ”导入 :规则 文件 -> 列表 导出 :列表 -> 规则 文件 局 


-规则 名 称 ”创建 人 | 网 页 过 小 。 流 县 限制 “开关 型 | 网络 软件 Tf 过 泥 端口 过 涛 外 发 尺 “ 
已 只 多 许 Eeoeas 斌 ) 


管区 许 员工 访问 公司 网 站 禁止 下 载 下 列 类 型 文件 : 
时 New Filter | 文件 类 型 
忌 药 止 员工 进行 下 载 | 加 .ap winzip 压 编 析 
rw WizRw 压 第 档 
wp3 压缩 声音 档案 
rm RealPlsy 播 放 文 件 i 由 
pe 。 视频 档案 添加 新 文件 类 型 
回 .paf 。 图 文 多 媒体 文件 
日 
回 
日 
日 


图 8-36 


ti@8 返回 至 网 路 岗 七 代 网 络 监管 软件 操作 界面 .选中 要 进行 下 载 限制 的 计算 机 IP 地址， 本 实 
选择 IP 地 址 为 172.16.4.1 的 计算 机 。 然 后 单 击 【 上 网 规则 】 下 拉 菜 单 ， 在 弹出 的 下 拉 菜 单 中 选择 
【禁止 员工 进行 下 载 〗】 上 网 规则 ， 单 击 【确定 】 按 钮 ， 如 图 8-37 所 示 。 
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6) 返回 至 网 路 岗 七 代 网 络 监管 工具 操作 界面 ， 此 时 IP 地址 为 172.16.4.1 的 计算 机 将 不 能 进 
行 下 载 ， 如 图 8-38 所 示 。 
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图 8-38 
3. 使 用 全 局 规则 设 定 简化 管理 
在 上 面 的 讲解 中 可 以 针对 网 络 内 部 的 用 户 进 行 上 网 行为 控制 ， 但 是 很 多 规则 往往 针对 网 络 中 
的 每 一 个 员工 ， 这 时 候 可 以 利用 全 局 规则 设 定 。 
配置 全 局 规则 的 具体 操作 步骤 如 下 。 
加 双击 桌面 上 的 【网 路 岗 7】 快捷 方式 ， 打 开 网 路 岗 七 代 网 络 监管 软件 的 操作 界面 ， 单 击 
左 侧 【全 局 定义 /规则 】 选 项 下 的 【不 规范 上 网 行为 〗 选 项 ， 如 图 8-39 所 示 。 
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图 8-39 


LO3j 在 【工作 时 间 启 用 】 选 项 下 方 的 【上 午 〗 和 【下 午 〗 文 本 框 中 分 别 输入 启用 该 规则 的 时 
间 。 本 实例 输入 工作 时 间 为 上 午 8:30-12:00， 下 午 为 14:00-18:00， 在 【常见 不 规范 行为 选项 中 勾 
选 【 使 用 p2p 疑似 软件 】 和 【 玩 QQ 游戏 】 复 选 框 ， 单 击 【 添 加 】 按 钮 ， 如 图 8-40 所 示 。 
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图 8-40 


3) 弹出 【 自 定义 项 目 】 对 话 框 ， 在 【报警 类 型 〗 下 拉 菜 单 中 选择 【访问 敏感 网 站 】〗】， 在 【 报 
警 名 称 〗】 文 本 框 中 输入 【禁止 访问 娱乐 网 站 】， 在 【访问 网 站 的 URL 包含 下 面 的 关键 词 : 】〗 文 本 
框 中 输入 禁止 所 有 员工 访问 网 站 域名 的 关键 词 。 本 实例 中 禁止 员工 访问 含有 qzone、download 的 网 
站 ， 单 击 【 确 定 】 按 钮 ， 如 图 8-41 所 示 。 


| 访问 敏感 网 站 


| 禁止 访问 娱乐 网 站 


图 8-41 


io 级 返回 至 网 路 岗 七 代 网 络 监管 软件 操作 界面 , 勾 选 【禁止 访问 娱乐 网 站 】 复 选 框 。 单 击 【 保 
存 设置 】 按 钮 ， 如 图 8-42 所 示 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 基于 Windows 平台 
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图 8-42 
I05) 弹出 【询问 〗 提 示 框 ， 单 击 【 是 】〗 按 钮 ， 如 图 8-43 所 示 。 


图 8-43 
此 时 ， 针 对 网 络 内 部 的 全 部 上 网 规则 设置 完成 。 网 络 内 部 所 有 员工 访问 互联 网 都 要 受到 该 规 
则 的 限制 。 
8.3.5 监测 用 户 数据 流量 


用 户 在 访问 网 站 和 下 载 资源 的 时 候 都 会 产生 网 络 流量 ， 对 网 络 流量 的 分 析 有 助 于 了 解 当前 网 
络 带 宽 是 否 满足 办 公 需 求 ， 对 员工 个 人 数据 流量 的 分 析 有 助 于 更 好 的 对 员工 的 上 网 行为 进行 监管 。 

监测 用 户 数据 流量 的 具体 操作 步骤 如 下 。 

0 双击 桌面 上 的 【网 路 岗 7】 快 捷 方式 ， 打 开 网 路 岗 七 代 网 络 监管 工具 的 操作 界面 ， 单 击 
左 侧 【状态 】> 【IP 流量 】 选 项。 如 图 8-44 所 示 ， 在 上 面 会 看 到 当前 网 络 数据 流量 大 小 ， 在 下 面 
会 看 到 网 络 中 每 个 计算 机 的 当前 流量 和 总 流量 。 


.214 。 
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图 8-44 


02j 单 击 左 侧 【端口 流量 图 〗】， 可 以 看 到 网 络 中 各 种 协议 的 使 用 比例 ， 如 图 8-45 所 示 ， 有 助 
于 网 络 管理 员 分 析 网 络 故障 


六 网 路 内 mn 
日 克扣 要 A) 秽 和 M 工具 旺 示 和 
国 企 习 “人 国人 争 @ 
现场 观 直 浏览 日 志 捧 索 日 志 内 隐 管 控 。 捅 包 规则 的 作 如 限 “ 测 屏 切 的。 远 笠 协 助 加 从 天 后 产品 信息 三 
蜂 控 配 填 4x 
E>] < 
小 首页 
二 电 脐 齐 表 
加 杖 大 
图 nz Srp O00%) 
一 rT 
也 吕 汶 是 图 nas(o03 
时 上 拉 分 机 
本 专权 控 
ns i 
ju 门 沪 ;最 i i 
显 mas | 端口 流量 图 口 动态 流量 图 (上 行 out+ 下 行 in) 单位 :K Bytes 
人 全 后 定义 /规则 
aN 
iv sm] ouT 
TE 上 有 i 
Di 
人 时 名单 em 
易 TP 白 名 单 500 
EE 的 
@ 报 芋 300 
和 裤 屋 拦 共 过 泌 200 
-ew bd o o 0 o o 站 o 1 
int ' 
4 下 3 3000 9000 0 0 日 o 0 0 0 
图 8-45 


8.3.6 ”查找 网 络 故障 的 原因 


当 网 络 出 现 故 障 后 ， 首 要 要 分 析 网 络 故障 的 原因 ， 而 网 路 岗 七 代 网 络 监 管 工 具 的 日 志文 件 能 
够 很 好 地 帮助 管理 员 进 行 故障 分 析 ， 日 志文 件 详细 登记 了 网 络 用 户 的 上 网 细则 。 

下 面 详细 介绍 如 何 通 过 查看 网 路 岗 七 代 日 志 来 掌握 网 络 用 户 上 网 的 细则 以 及 查看 用 户 计算 机 
的 软 硬 件 使 用 情况 。 
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1. 现场 观察 
通过 现场 观察 可 以 实时 检测 客户 机 上 网 情况 ， 具 体操 作 步 又 如 下 。 


和 双击 桌面 上 的 【网 路 岗 7】 快 捷 方式 ， 打 开 网 路 岗 七 代 网 络 监管 工具 的 操作 界面 ， 单 击 
工具 栏 【 现 场 观 察 】 选 项 ， 如 图 8-46 所 示 。 
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图 8-46 


2 弹出 【现场 观察 】 窗 口 ， 在 【监控 动态 〗 选 项 卡 中 可 以 看 到 当前 客户 机 正在 访问 哪些 网 
页 ， 如 图 8-47 所 示 。 
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图 8-47 


io3j 选择 【过 滤 事 件 】 选 项 卡 ， 可 以 看 到 网 路 岗 根 据 上 网 规则 过 滤 掉 的 客户 机 访问 的 网 页 情 
如 图 8-48 所 示 。 
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4.1] 在 13 时 7 分 22 秒 被 阻塞 :网 页 地 址 包 合 过 小 关键 词 (qq) (www. qq_ com 


{172. 16. 4.*} 机 器 :HOWTH-1F80AF4ED[172. 16， 
{172, 16, 4.*#} 机 器 : [172. 16. 4 
{172. 16.4.*} 机 器 : [172. 16. 4 
4. 村 机 器 : [172. 16. 4 
4 村 机 器 : [172. 16. 4 


1] 在 13 时 7 分 29 秒 被 阻塞 : 网 页 地 址 包 合 过 源头 键 词 Grunl ei) (www. xu| 
200] 在 15 时 3 分 21 秒 被 阻塞 : 未 经 允许 上 网 ! 
200] 在 15 时 4 分 25 秒 被 阻塞 ; 未 经 允许 上 网 ! 
200] 在 15 时 4 分 43 秒 被 阻塞 : 未 经 允许 上 网 ! 
200] 在 15 时 4 分 53 秒 被 阻塞 : 未 经 允许 上 网 ! 
4. 村 机 器 : [172. 16. 4. 200] 在 15 时 5 分 0 秒 被 阻塞 : 未 经 区 许 上 网 ! 
4 .机 机 器 : [172. 16. 4. 200] 在 15 时 5 分 5 秒 被 阻塞 : 未 经 允许 上 网 ! 


1 [el » 


图 8-48 
2. 浏览 日 志 
通过 【浏览 日 志 】， 可 以 查看 客户 机 网 络 访问 日 志 信息 ， 具 体操 作 步 又 如 下 。 
td 打开 网 路 岗 七 代 网 络 监管 工具 的 操作 界面 ， 单 击 工具 栏 【 浏 览 日 志 】 选 项 ， 如 图 8-49 所 


证 网 路 岗 7 i 
5 日志 (E) 系统 (W) 报警 (A) 消息 (M) 工具 (E) 显示 (Y) 帮助 (HD) 


国企 已 


荆 | 


3、 基 于 IP 注 : 适合 大 型 网 络 


了 2、 挂靠 方式 。 注 : 安装 在 其 他 代理 服务 器 /NAT 路 由 , 可 控 坦 “| ， 下 于 
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2 打开 【日 志 浏 览 器 〗 窗 口 ， 如 图 8-50 所 示 ， 可 以 看 到 网 络 内 部 计算 机 的 所 有 上 网 行为 。 


中 小 型 企业 网 络 营 理 实战 笃 典 一 一 花 于 Windows 平台 


日 志 浏 览 器 eye 
;日 志 加 时间 (D 查看 帮助 中) 
国 -Br -err KS 过 加 | 多 六 站 
; 电脑 清单 时 xX | 口 浏 昨 同 页 l 
3 厚 导 时间 地 让， 电脑 名 嘛 民 ) MC < 
i 前 nan 172 1641 NTFIF6I O00C29210Des http://w beide eon/ 目 
日 电 访 明 曙 1125 。 ongh0ll04s91 http://wm. baidu con/js/bd 
画 1 HTN-IF0A 0D00Czs21DBE9 http://mm baidu eon/js/bé 
EE 192 163 1 126 。 00EhAD1104991 http:/fww. baiau com/ 
3 1 128 。 0o0gh01104991 http://rm, baidu con/ 
把 1s2 .158 1 126 。 00EhA01104991 。 http:/fwmr baidu con/ 
下 192 168 1 125 。 D0Eh01104991 http:/fmm, baidu com/ 
本 HOWTI-1780A 000C2921D869 http://wm, baidu, econ/ 
;内容 选项 ?x | 可 192 188 1.128 。 ooghollo4sel http://wm. baidu eon/ 
mm 人 3 HTN-IFS0A 000C2szln869 http://ww baidu con/ 
HOWTH-1F80A 000C2S210569 http: /fwww. baian com/jsfbe 
剧 接收 履 送 ) 邮 件 | F 11 zoll-or- O0EA0110499! http: /fw, baiau com/ 
全 PT 指 剖 iT opceselngB9 。 http:/1r baidu con/ 
全 Telnet 指令 13 2011-07-17 13:0 onghollo4s81 http: /fmm aa eon/ 
9 et "| ooocasetnsee 。 http://wrr aa on/ 
局 PP 而 15 zoll-or-ir la0 1 2 00EAD110499! 。 http://w qq eon/c/dayun 
怖 Tmnet 守 人 话 。 间 十 1 2 7 5 1 THAF http’ /fr aq confe/ dayunl w 
re |] | 


03) 单 击 【 电 脑 明细 】>【172.16.4.*】>【172.16.4.1】 选 项 ， 可 以 看 到 IP 地址 为 172.16.4.1 


[后生 贡 量 ， 175 占用 内 存 ，0.02W8 


图 8-50 


计算 机 访问 网 页 的 情况 ， 如 图 8-51 所 示 。 


刁 日 志 浏 览 器 ep 
+ 
4 
忆 
sx [DO 
电脑 名 是 户 ) MC 网 站 py 
EY "me MOWTN-1F60A 05 http://ww baidu. con| 
日 砚 1T2.16.4.* 三 MOTH-1F80A. http:// rm. baidu eol 
YB LT2, 16.4.1 EE HOWTN-1F60A, http:// ww, baidu. con| 
GS (72.16.4.2] 的 ] HOTI176OA http: /wee baidu e 
ga i 18.4.3] ” http: /ee bsian con 
名 rt http:VAwww_ bai du com 
Cir2.16.4.254] | a 
轩 1681 PE http: /fmm aa con/ 
2 , 串 s /eee 
内 容 选 项 sx | 三 http://eww_aq econ/ 
= 品 网 络 活动 -| 下 http: /me aa con/e/ 
局 浏览 网页 入 http://ing dinma 上 
国 接 必 收 送 ) 邮 件 四 让 
和 FTF 指令 前 http://Yipev. xunlei 
各 Telnet 指令 ” http://ing dlinwa < 
@ Ft 曾 14 2011-0 http://ing dinma 
回 上 网 流量 
网 FP 完整 会话 汪 15 2011-0 http: /mew baidu eon 
恩 Tanet 完 整 会 话 各 曾 16 2011-07-17 13:50:47 http’// mw. baidu. cor w 
一 一 一 [ee | a 
就 绪 旧 志 数量 :74 ”占用 内 存 0. 01WB es sse 


0 弛 如 果 要 看 某 个 计算 机 的 其 他 上 网 行为 ， 可 以 在 下 面 【 内 容 选项 】 窗 口中 进行 相应 的 选择 ， 
比如 要 查看 IP 地 址 为 172.16.4.1 的 计算 机 的 上 网 流量 ， 单 击 左下 方 的 【上 网 流量 】 选 项 就 可 以 看 


到 ， 如 图 8-52 所 示 可 以 看 到 1 个 小 时 统计 1 次 的 网 络 数据 流量 。 
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HW ep 
:日志 (E) 时 间 (D 查看 (W 帮助 (H) 


| -mr "|20l- TT7 - en QQ 地 回 @) vk 
电脑 洁 音 9x [口上 BW 量 | 


名 Ea _ 于 地址 电脑 名 号 户 ) 13 点 0 ，14 点 g) 15 点 他 ) 16 点 他 | 17 点 0 18 碟 0) 


和 
em 0 16 41 DTDFIFBOA lz23 BT 2l30 2M 00 0.0 


日 三 112.16.4.* 

a [172.16.4.1]HDITI 

GS [172.16.4.2] 

SR C72.16.4.3] 

风量 [172.16.4.200] 

国 量 Ci72.16.4.254] 
Ti 
4 此 人 
内 容 选项 二 起 
-上 同 络 活动 
泗 KR 
基 接收 路 送 ) 邮 件 
个 FTP 指令 
四 Telnet 指 令 
@ 过 渗 事 件 
上 网 流量 
邮 Tr 完整 会 话 
局 Te 


【内 容 选项 】 可 
查看 其 他 上 网 


3. 管控 内 网 客户 机 
通过 【内 网 管控 】 可 以 查看 内 网 的 系统 信息 ， 具 体操 作 步 又 如 下 。 
和 打开 网 路 岗 七 代 网 络 监管 工具 的 操作 界面 ， 单 击 工具 栏 【 内 网 管控 】 选 项 ， 如 图 8-53 所 


请 网 路 岗 7 emer 
;日 志 提 系统 (报警 (A) 消息 (M) 工具 (E) 显示 (W) 帮 屿 (HD) 


团 企 史 司 | 酌 | 和 芯 | 和 | 男人 全 g 


TH 流量 
区 端口 流量 图 
时 此 控 分 机 
加 专项 监 榨 
A out 
总 rsy 占 控 
全 全 局 定义 /规则 
萎 RI 定义 
舍 不 规范 上 网 为 
回 监控 滑 品 
水 本 黑 名 单 
YIP 白 名 单 - 
就 绪 与 


监控 模式 : |3、 基 于 IP 注 : 适合 大 型 网 络 


安装 方式 : | 2 、 持 靠 方式 。 注 : 安装 在 其 他 代理 服务 器 /NAT 路 由 , 可 控 惠 ~ al 


yy 


下 行 :0.o0K 


中 小 型 企业 网 络 管 理 实战 富 典 基于 Windows 平台 


2 打开 【内 网 管控 】 窗 口 ， 如 图 8-54 所 示 ， 可 以 看 到 网 络 内 部 计算 机 的 相关 系统 信息 。 


电脑 和 4 x | 畸 注册 未 总 各 | 

3 什 牙 车 各 XX 从 内 由 E 哥 1rz1643 名 称 3 大 小 
二 WORKGRDUP | 本 站 mmr_cUsszs pnoT 

$s Sa OrireoAr4m dT2. 16.4.25, | © Er a 


IARI CIT2. 16.4.3> i 


| 
| 
| 
@ 和 由 | 
由 思量 swsia-PC<IT2.16-4.200> 让 Wi 
由 加 显 TAONONGCIT2. 16.4.2> 


EL | 


图 8-54 
to3j 双击 【172.16.4.3】>【 注 册 表 编辑 】 选 项 ， 如 图 8-55 所 示 可 以 看 到 IP 地 址 为 172.16.4.3 
的 计算 机 的 注册 表 信 息 。 


请 内 网 管控 x 
“管理 (0) 显示 (WW 系统 (D 


回 目 回力 a 


电脑 树 ? x | 蚁 注册 表 编 贺 | 

人 日 忆 172.16.4.200 名 称 类 型 大 小 
次 mmm ，，，，， 由 站 HEEY_CLASSES_ROOT 
HO HEEY_CURRENT_USER 


由 MOVIN-1F80AF4EDC172. 16. 4. 25. 
Wj SUSHI-PCC1T2. 16. 4.200> 


可 查阅 的 
目标 主机 
系统 信息 


报 素 | 电脑 树 De 
Ready CAPI NUM SCRL 


图 8-55 


9 旨 双击 【172.16.4.3〗> 【磁盘 查阅 】〗 选 项 ， 如 图 8-56 所 示 可 以 看 到 IP 地 址 为 172.16.4.3 
的 计算 机 的 硬盘 使 用 信息 。 
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内 网 管控 Cd 
:管理 (0) 显示 系统 
9 Wl 
回 个 天 
电脑 笠 [| 
> 全 史 和 全 义 Q 罗 内 。 语 Er 本 
区 YDEE5EDVT 天 型 修改 时 间 
HT NOTIN-1F80AF4ED 172. 16.4.25 (OO] 文件 买 
3 四 旺 swsa-PCCIT2.16.4.200> 白 文件 夹 
面 查阅 点 面 ok 2011-05-24 
全 下 达 指示 ok 2011-05-24 
SYS 系统 信息 315K 2003-03-27 
四 注册 表 编 各 or 2011-05-24 
< 碰 林 查 同 2011-05-24 
Ok 2011-05-24 
管控 电脑 
# 四 量 zIA0METKIT2.16.4.3> Ee ee i EE a 
EE 时 XIAONMDBG<1T2_ 16. 4.2> 上 au 文件 pe 0 
由 pseefile sys 系统 文件 598040K 2011-07-17 
癌 proerm Files 文件 严 2011-07-16 
acrcr 文件 夹 2011-07-16 
四 systen Vol. .文件 到 2011-05-24 
rmoors 文件 袍 2011-07-16 
三 weloe txt 文本 文档 ok 2011-07-17 
Op 文件 赤 2011-05-24 
4 上 > 
| 报表 | 电脑 树 | 
Ready 


图 8-56 


如 果 想 要 使 用 其 他 功能 ， 比 如 【查阅 桌面 【下 达 指 示 】〗 等 ， 需 要 在 网 络 内 部 计算 机 
上 安装 网 路 岗 七 代 网 络 监管 工具 的 客户 端 程序 。 
提 示 


8.4 专家 答疑 


(1) 安装 完 网 路 岗 后 ， 进 行 计算 机 的 扫描 ， 计 算 机 的 监测 状态 是 【VIP 监控 〗。 如 果 手 动 更 改 
为 【监控 〗 网 路 岗 软件 又 会 自动 更 改 为 【VIP 监控 】〗 导致 不 能 正常 使 用 ， 这 是 什么 原因 ? 

答 : 安装 完 网 路 岗 七 代 网 络 监管 工具 后 ， 首 先 需要 进行 注册 后 才能 正常 使 用 ， 否 则 会 出 现 不 
能 监控 网 络 的 情况 。 如 果 仅 仅 是 为 了 做 实验 ， 可 以 在 网 路 岗 七 代 的 官方 网 站 申请 注册 号 。 

(2) 网 路 岗 七 代 有 一 个 新 的 功能 是 捕 提 网络 数据 包 ， 我 已 经 设置 好 了 监控 网 卡 ， 可 是 捕捉 不 
到 任何 数据 包 ， 怎 么 解决 ? 

答 : 如 果 要 使 用 网 路 岗 七 代 网 络 监管 工具 捕捉 数据 包 ， 则 需要 安装 Winpcap 驱动 。 

(3) 网 路 岗 七 代 有 一 个 新 的 功能 是 可 以 捕捉 到 客户 端的 桌面 ， 要 对 客户 端的 桌面 进行 快照 捕 
捉 ， 怎 么 实现 ? 

答 : 如 果 要 使 用 网 路 岗 七 代 网 络 监管 工具 的 桌面 捕捉 功能 ， 则 需要 在 客户 端 安装 客户 端 程序 ， 
安装 完成 后 连接 服务 器 端 ， 之 后 就 可 以 在 服务 器 端 查阅 客户 端的 桌面 。 
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网 络 发 展 至 今 ， 人 们 关注 的 已 经 不 仅仅 是 网 络 能 否 满足 业务 需求 ， 更 关注 的 是 能 否 安全 的 、 
可 靠 的 完成 业务 需求 。 这 是 因为 网 络 安全 事件 频繁 发 生 ， 网 络 安全 威胁 无 处 不 在 ， 因 网 络 安全 造成 
的 损失 难以 控制 。 

网 络 安全 技术 在 这 样 的 环境 下 越 来 越 受 重视 ， 技 术 发 展 水 平 也 越 来 越 高 。 下 面 将 详细 介绍 网 
络 安全 技术 概述 、 网 络 安 全 威胁 类 型 、 网 络 安全 解决 办 法 等 内 容 。 


9.1 网 络 安全 的 概述 


和 网 络 安全 相关 的 很 多 名 词 另 大 家 印象 深刻 ， 比 如 病毒 、 木 马 、 系 统 漏洞 、 网 络 攻击 等 。 但 到 
底 什 么 是 网 络 安全 ， 它 的 特征 又 是 什么 ? 很 多 人 无 法 给 出 准确 、 完 整 的 描述 。 作 为 网 络 安全 工程 师 ， 
在 实施 网 络 安全 架构 和 管理 时 必须 要 完整 的 认识 网 络 安全 ， 和 否则 很 容易 构建 出 不 完善 的 网 络 架构 。 


9.1.1 网 络 安全 的 概念 


网 络 安全 是 指 网 络 系统 的 硬件 、 软 件 及 其 系统 中 的 数据 受到 保护 ， 不 因 偶然 的 或 者 恶意 的 因 
素 而 遭受 到 破坏 、 更 改 、 泄 露 ， 系 统 连续 、 可 靠 、 正 常 地 运行 ， 网 络 服务 不 中 断 。 

网 络 安全 最 重点 保护 的 不 是 硬件 、 软 件 本 身 ， 而 是 所 有 网 络 中 的 信息 。 这 个 信息 没有 明确 的 
定义 ， 网 络 中 任何 有 价值 的 信息 都 在 保护 之 列 。 网 络 安全 的 实现 涉及 到 了 计算 机 科学 、 网 络 技术 、 
信息 安全 技术 、 密 码 技术 、 通 信 技 术 、 应 用 数学 、 数 论 、 信 息 论 等 多 方面 的 知识 ， 是 一 个 综合 性 的 
技术 体系 。 

实现 网 络 安全 主要 用 到 的 技术 手段 有 防火 墙 、IDS 入 侵 检测 、 防 毒 墙 、 流 量 监测 分 析 、VPN、 
CA 认证 、 访 问 控制 列表 、Qos 服务 质量 等 。 每 一 项 技术 手段 都 可 以 满足 一 定 的 网 络 安全 需求 。 如 
防火 墙 用 于 安全 隔离 内 网 ，IDS 用 于 扫描 网 络 攻击 ， 防 毒 墙 用 于 企业 反 病毒 ，CA 用 于 提供 安全 加 
密 身 份 认证 、 访 问 控制 用 于 实现 网 络 流量 控制 。 无 论 是 哪 种 技术 手段 ， 最 终 的 目的 都 是 为 了 确保 网 
络 的 可 用 性 、 完 整 性 和 保密 性 。 


9.1.2 网络 攻击 类 型 


目前 ， 网 络 攻 击 模式 呈现 多 方位 、 多 手段 化 ， 让 人 防不胜防 。 网 络 攻击 的 实质 就 是 利用 被 攻 
击 方 信息 系统 自身 存在 的 安全 漏洞 , 通过 使 用 网 络 命令 和 专用 软件 进入 对 方 网 络 系统 的 攻击 。 目前 
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网 络 攻击 的 类 型 主要 有 以 下 几 种 。 


利用 监听 嗅 探 技术 获取 对 方 网 络 上 传输 的 有 用 信息 。 

利用 拒绝 服务 攻击 使 目的 网 络 暂 时 或 永久 性 瘫 疾 。 

利用 网 络 协议 上 存在 的 漏洞 进行 网 络 攻击 。 

利用 系统 漏洞 ， 例 如 缓冲 区 溢出 或 格式 化 字符 串 等 ， 以 获得 目的 主机 的 控制 权 。 
利用 网 络 数据 库存 在 的 安全 漏洞 ， 获 取 或 破坏 对 方 重 要 数据 。 

利用 计算 机 病毒 传播 快 、 破 坏 范围 广 的 特性 ， 开 发 合适 的 病毒 破坏 对 方 网 络 。 


9.1.3 ”网 络 安全 的 威胁 


计算 机 网 络 发 展 至 今 ， 计 算 机 病毒 、 网 络 攻击 等 严重 影响 了 网 络 应 用 。 作 为 网 络 使 用 者 、 维 
护 者 ， 必 须 直 面 以 对 ， 及 早 做 出 防范 。 

下 面 介 绍 几 种 常见 的 网 络 安全 威胁 。 

1. 威胁 个 人 网 络 隐私 


计算 机 网 络 有 很 多 默认 的 记录 功能 ， 会 将 用 户 的 很 多 网 络 访问 信息 、 系 统 操作 信息 进行 登记 ， 
主要 以 缓存 和 历史 记录 方式 存在 。 如 果 不 及 时 清理 这 些 信息 ， 很 容易 被 网 络 攻击 者 利用 ,危害 个 人 
隐私 安全 。 

很 多 网 络 攻击 者 ， 可 以 通过 网 络 攻击 登录 用 户 操作 系统 查看 缓存 和 历史 记录 信息 ， 同 时 也 可 以 将 
有 操作 记录 功能 的 木马 程序 散播 入 互联 网 ， 被 感染 的 用 户 的 所 有 计算 机 使 用 情况 都 会 被 记录 、 窃 取 。 

一 般 可 以 直接 操作 系统 删除 缓存 和 历史 记录 信息 ， 也 可 以 使 用 专门 的 系统 优化 工具 清理 。 对 
于 植 入 的 木马 可 以 使 用 专门 的 木马 、 插 件 扫描 工具 清理 。 

例如 ， 可 以 通过 以 下 步骤 清理 正 缓存 和 历史 记录 信息 。 

tOJ 在 桌面 右 击 【Internet Explorer 浏览 器 〗 图 标 ， 在 弹出 的 快捷 菜单 中 选择 【属性 〗】 菜 单 命 
令 ， 弹 出 【Internet 属性 】〗】 对 话 框 ， 单 击 【删除 〗 按 钮 ， 如 图 9-1 所 示 。 


| 
第 及 | 安全 | 隐私 | 内 容 | 连 妆 | 程序 | 高 | 


主页 
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S ES 
习 
可 BE 四 | me 
训 览 历史 记录 


人 E71 历史 记录 、Cooki*、 保 厅 的 密码 和 网 页 
厂 退出 时 贡 队 齐 苞 历史 记录 ED) 


1 设 征 名 


删除 缓存 及 


过 项 卡 
要 中 有 未 的 方式 设置 中 
四 一 
Wo | iw |_ F#m | ae 
mm | 
图 9-1 
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I02 弹出 【删除 浏览 的 历史 记录 】 对 话 框 ， 选 择 需要 删除 的 选项 的 复 选 框 ， 单 击 【删除 〗】 按 
钮 ， 如 图 9-2 所 示 。 
| 
ET 和 Internet 临时 文件 ,以 保留 


Internet 临时 文件 (I) 
保存 网 页 、 图 俐 和 媒体 的 硬 | 本 ,以便 快 速 查看 。 


F Cookie (QO) 
网 站 存 铺 在 计算 机 上 的 文件 ,以 保存 如 登录 信息 等 首选 项 。 


订 历史 记录 0D 
已 访问 网 站 的 列表 。 


厂 表单 数据 于 ) 
保存 在 表单 中 键入 的 信息 。 


厂 密码 全) 
和 登录 以 前 访问 过 的 网 站 时 ， 自 动 填充 保存 的 密码 。 


2. 网 络 钓鱼 攻击 


近 些 年 钓鱼 网 站 频繁 出 现 ， 其 中 比较 多 的 是 网 购 类 的 网 站 。 有 些 黑 客 使 用 淘宝 网 网 页 模板 制 
造 可 以 窃取 用 户 支付 宝 或 银行 卡 账户 信息 的 钓鱼 网 站 ， 使 不 少 用 户 财产 受 损 。 

诸如 此 类 的 钓鱼 攻击 手段 还 有 很 多 ， 作 为 用 户 需 要 注意 ， 通 过 网 络 进行 消费 时 ， 一 定 要 确认 
其 网 站 是 官方 网 站 ， 比 如 淘宝 网 的 网 址 中 一 定 会 有 “taobao.com” 字 样 ， 即 便 是 官方 网 站 也 要 尽量 
搜集 信息 确定 网 站 信息 真 伪 ， 不 要 想 着 天 上 会 掉 馅 饼 ， 没 有 白 捡 的 便宜 。 

3. 漏洞 攻击 

无 论 是 操作 系统 、 硬 件 设备 、 还 是 软件 程序 都 有 可 能 存在 漏洞 ， 这 些 漏洞 很 有 可 能 被 攻击 者 
利用 。 虽 然 有 些 用 户 为 了 安全 会 进行 补丁 更 新 ,但 是 网 络 攻击 者 总 是 会 在 漏洞 出 现 后 ， 网 络 用 户 未 
更 新 补丁 前 的 时 差 范 围 内 开始 自己 的 行动 。 这 就 需要 有 完善 的 漏洞 扫描 、 补 丁 更 新 计划 做 保证 。 

4. 病毒 泛滥 

病毒 是 用 户 网 络 最 常见 的 危害 之 一 ， 随 着 其 数量 、 类 型 越 来 越 多 ， 造 成 的 危害 也 在 逐步 增加 。 
每 一 次 病毒 的 泛滥 都 会 对 整个 互联 网 用 户 造成 巨大 的 损失 。 

5. 僵尸 网 络 

网 络 攻击 者 通常 会 向 互联 网 散布 大 量 的 木马 程序 ， 一 旦 用 户 被 感染 ， 就 会 被 攻击 者 操控 、 查 
看 个 人 信息 。 这 种 现象 很 多 ， 从 目前 整个 互联 网 来 看 ， 很 多 用 户 和 企业 的 网 络 都 存在 被 人 植 入 控制 
程序 的 现象 。 被 控 的 僵尸 网 络 在 整个 网 络 中 的 比重 很 大 ， 所 以 这 对 整个 互联 网 的 危害 也 很 大 。 

6. 无 线 网 络 安全 威胁 

目前 ， 无 线 网 络 越 来 越 普及 。 虽 然 无 线 网 络 使 用 很 方便 ， 但 是 整个 无 线 网 络 信号 一 直 处 于 暴 
露 状态 ， 很 容易 被 攻击 者 攻 入 ,窃取 网 络 信息 。 只 要 攻击 者 能 够 进入 企业 或 家 庭 个 人 的 无 线 网 络 区 
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域 , 就 可 以 接 入 无 线 网 。 即 使 现在 大 部 分 无 线 网 络 都 使 用 了 无 线 认证 加 密 技术 , 但 是 碍 于 它 的 特性 ， 
比 之 有 线 网 络 的 安全 性 还 有 很 大 的 差距 。 


9.2 网 络 攻 击 的 入 口 


端口 是 电脑 与 外 界 网 络 连接 的 一 扇 门 ， 在 某 种 程度 上 ， 端 口 掌握 着 网 络 连接 大 权 ， 同 时 也 是 
网 络 攻击 的 入 口 。 


9.2.1 端口 的 分 类 

在 Windows 系统 端口 的 分 配 中 ， 按 照 端口 号 可 以 将 端口 划分 为 公认 端口 、 注 册 端 口 、 动 态 端 
口 三 种 。 下 面 将 分 别 介绍 每 一 种 端口 。 

1. 公认 端口 


公认 端口 的 范围 是 0~1023， 它 们 紧密 绑 定 于 一 些 服 务 。 通 常 这 些 端口 明确 表明 了 某 种 服 
务 的 协议 ， 例 如 :80 端口 代表 HTTP 通讯 。 


2. 注册 端口 


注册 端口 的 范围 是 1024~49151。 注册 端口 松散 地 绑 定 于 一 些 服务 , 目前 许多 服务 绑 定 于 端口 ， 
许多 系统 动态 处 理 端 口 都 是 从 1024 左右 开始 的 。 


3， 动态 端口 
动态 端口 的 范围 是 49152~65535。 但 是 实际 上 ， 计 算 机 通常 从 1024 起 分 配 动态 端口 。 不 过 也 
有 例外 : 如 SUN 的 RPC 端口 从 32768 开始 。 


9.2.2 ”开启 和 关闭 端口 


为 了 保护 计算 机 ， 可 以 将 危险 的 端口 关闭 ， 同 样 也 可 以 开启 一 些 有 用 的 端口 。 开 启 与 关闭 端 
口 有 通过 “TCP/IP 筛选 ”和 禁用 或 开启 服务 两 种 方法 。 

1. 关闭 端口 

如 果 哪 个 端口 出 现 漏洞 就 关闭 哪个 端口 ， 这 样 是 不 能 保证 系统 安全 的 ， 正 确 的 方法 应 该 是 先 
了 解 清楚 自己 需要 开放 哪些 端口 , 然后 把 自己 不 需要 的 端口 统统 关闭 掉 , 这 样 才能 保证 系统 的 安全 
性 。 

下 面 介 绍 如 何 通 过 “TCP/IP 筛选 ”和 禁用 服务 两 种 方法 关闭 端口 ， 具 体操 作 步 骤 如 下 。 

t0J 在 电脑 桌面 上 ， 在 【网 上 邻居 】〗 图 标 上 单 击 鼠标 右键 ， 在 弹出 的 快捷 莱 单 中 选择 【属性 】 
菜单 命令 ， 即 可 打开 【网 络 连 接 】 窗 口 ， 如 图 9-3 所 示 。 
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iOg 在 【本 地 连接 〗 图 标 上 单 击 鼠 标 右 键 ， 在 弹出 的 快捷 菜单 中 选择 【属性 】〗 菜 单 命令 ， 即 
可 打开 【本 地 连接 状态 】〗 对 话 框 ， 如 图 9-4 所 示 。 


图 9-4 


I03) 单 击 【 属 性 】 按 钮 ， 即 可 打开 【本 地 连接 属性 】〗 对 话 框 。 在 【此 连接 使 用 下 列 项 目 】〗 列 
表 中 选择 【Internet 协议 (TCP/IP ) 】〗 选 项 ， 如 图 9-5 所 示 。 
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t@Q 毕 单 击 【 属 性 】 按 钮 ， 即 可 打开 【Internet 协议 (TCP/IP ) 属性 】〗 对 话 框 ， 如 图 9-6 所 示 。 


Internet 协议 (ICP/IP) 展 性 回国 
训 “| 各 岂可 写 


加 时 古 时 有. 再 则 ， 
禾 斋 要 从 网 阅 东 统管 各 及 处 诡 袜 运 当 的 下 设置 


OA TF EE 
人 〇 全 用 下 面 的 TP 地 址 


加 和 动 获得 DES 服务 器 地 址 @] 
加 更 用 下 面 89 DIS 服务 器 地 址 双 ) 


图 9-6 


IQ5) 单 击 【 高 级 】 按 钮 ， 即 可 打开 【高 级 TCP/IP 设置 〗】 对 话 框 ， 并 单 击 【 选 项 】 选 项 卡 ， 如 
图 9-7 所 示 。 


图 9-7 


06j 在 【可 选 设置 ] 栏 目 中 选择 [TCP/IP 筛选 ] 选 项 , 然后 单 击 【属性 了 按钮 , 即 可 打开 【TCP/IP 
第 选 〗 对 话 框 ， 如 图 9-8 所 示 。 


回忆 月 TCP/IP 市 这 (所有 二 本 器 ) 全 


口 宇 帮主 四 口 主 生 外 许 册 
加 RH 话 四 © 
了 
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到 选择 【启动 TCP/IP 筛选 (所 有 适配器 ) 〗 复 选项 ， 并 在 【TCP 端口】 栏目 中 选择 【只 允 
许 】〗 单 选 按钮 ， 然 后 单 击 【 添 加 】 按 钮 ， 即 可 打开 【添加 第 选 器 】 对 话 框 ， 如 图 9-9 所 示 。 


添加 筛选 回 


ICP 端口 : 


80 


图 9-9 


to8j 在 【TCP 端口 〗 文 本 框 中 输入 “80” 后 ， 单 击 【 确 定 】〗】 按 钮 ， 即 可 在 【添加 簿 选 器 〗】 对 
话 框 中 看 到 添加 的 端口 号 。 按 照 同样 的 方法 添加 允许 开启 的 端口 ， 这 样 就 把 那些 危险 端口 关闭 了 ， 
如 图 9-10 所 示 。 


BR Tp/ Wt FRR) D) 
© Em ©) Om Otf 
OFD TMFD OFD 
| TCF 沪 口 we 斑 D | 于 博识 
可 


图 9-10 


9 由 于 计算 机 中 的 服务 是 与 端口 相对 应 的 ， 所 以 也 可 以 通过 禁用 相应 的 服务 来 关闭 端口 。 
选择 【开始 】〗>【 控 制 面板 】 菜 单 命令 ， 即 可 打开 【控制 面板 〗 窗 口 ， 如 图 9-11 所 示 。 


图 9-11 
轩 0) 单 击 【 管 理工 具 】 图 标 按钮 ， 即 可 打开 【管理 工具 】 窗 口 ， 如 图 9-12 所 示 。 
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文件 下) 编辑 E) 查看 WD 收 总 入 工具 G) 帮助 00 
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图 9-12 


因 昌 单 击 【 服 务 】 图 标 按钮 ， 即 可 打开 【服务 】 窗 口 。 在 其 中 可 以 看 到 本 地 计算 机 中 所 有 服 
务 及 其 所 处 的 状态 ， 如 图 9-13 所 示 。 
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图 9-13 


加 2 在 要 停 用 的 服务 上 单 击 鼠 标 右键 ， 在 弹出 的 快捷 菜单 中 选择 【属性 】 命 令 ， 即 可 打开 
【Telnet 的 属性 (本 地 计算 机 ) 】〗 对 话 框 ， 如 图 9-14 所 示 。 


中 小 型 企业 网 络 管 理 实战 委 典 基于 Windows 平台 
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Tintsw 
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鹿 双 | 单 击 【 人 停止】 按钮 ， 即 可 进行 禁用 该 项 服务 的 操作 ， 待 操作 完成 后 ， 在 【Telnet 的 属性 】 
对 话 框 中 ， 即 可 看 到 Telnet 服务 的 【服务 状态 】 已 经 变 为 【已 停止 〗， 如 图 9-15 所 示 。 
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图 9-15 


网 单 击 【确定 】 按 钮 ， 返 回 到 【服务 】 窗 口中 ， 此 时 即 可 发 现 Telnet 服务 的 【启用 类 型 】 
被 设置 为 【已 禁用 〗， 这 样 就 可 以 成 功 关闭 Telnet 服务 对 应 的 端口 了 ， 如 图 9-16 所 示 。 


网 络 安全 基础 ”第 9 章 


2. 开启 端口 


与 关闭 端口 的 方法 类 似 ， 开 启 端口 也 有 两 种 方式 ， 通 过 【TCP/IP 筛选 】 方 式 开启 端口 的 方法 
只 需 输入 要 开启 的 端口 号 即 可 实现 。 这 里 介绍 通过 启动 服务 来 开启 端口 的 具体 操作 步骤 。 


史 因 以 上 面 停止 的 Telnet 为 例 ， 如 图 9-17 所 示 ， 在 【Telnet 的 属性 】 对 话 框 中 的 【启动 类 型 】 
下 拉 列 表 中 选择 【自动 〗 命 令 。 单 击 【 应 用 】 按 钮 ， 即 可 激活 【启动 】 按 钮 。 


时 名 和 加: I 
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图 9-17 


62 单 击 【 启 动 〗 按 钮 ， 进 行 启动 该 项 服务 的 操作 ， 待 操作 完成 后 ， 在 【Telnet 的 属性 】 对 
话 框 ， 即 可 看 到 Telnet 服务 的 【服务 状态 】 已 经 变 为 【已 启动 】， 如 图 9-18 所 示 。 
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可 执行 六 件 的 网 径 0 
FE Vo emt soe 


后 动 闪 妆 EE: |[ 犁 动 


服务 其 访 : 。 已 启动 


EEC 于 


当众 此 外 启动 慑 各 时 ， 修 可 执 宝 所 活用 8 后 动 沟 。 


CC CC 


图 9-18 


tQ3j 单 击 【 确 定 〗】 按 钮 ， 返 回 到 【服务 】 窗 口中 ， 此 时 即 可 发 现 Telnet 服务 的 【启用 类 型 】 
被 设置 为 【已 启动 〗。 这 样 就 可 以 成 功 关闭 Telnet 服务 对 应 的 端口 ， 如 图 9-19 所 示 。 
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9.3 寻找 木马 的 藏身 之 处 一 一 进程 


进程 是 在 计算 机 系统 中 运行 的 一 个 应 用 程序 ， 进 程 是 木马 程序 主要 的 藏身 地 ， 在 本 节 将 介绍 
有 关系 统 进程 的 基本 知识 以 及 一 些 基本 的 操作 。 


9.3.1 认识 系统 进程 


进程 是 在 系统 中 正在 运行 的 一 个 应 用 程序 ， 而 线程 是 系统 分 配 处 理 器 时 间 资 源 的 基本 单元 ， 
或 者 说 是 进程 之 内 独立 执行 的 一 个 单元 。 对 于 Windows 操作 系统 而 言 ， 其 调度 单元 是 线程 。 一 个 
进程 至 少 包括 一 个 线程 , 通常 将 该 线程 称 为 主线 程 。 一 个 进程 从 主线 程 的 执行 开始 进而 创建 一 个 或 
多 个 附加 线程 ， 即 基于 多 线程 的 多 任务 。 

进程 是 系统 运行 的 基本 条 件 ， 有 了 这 些 进程 ， 系 统 才 可 以 正常 运行 。Windows XP 中 正常 的 系 
统 进程 如 下 。 

1. Svchost.exe 


进程 文件 : svchost 或 者 svchostexe 

进程 名 称 : microsoft service host process 

作用 : svchost'exe 是 一 个 属于 微软 Windows 操作 系统 的 系统 程序 ， 用 于 执行 dl 文件 。 这 个 程 
序 对 系统 的 正常 运行 是 非常 重要 的 。 


2. iexplore.exe 


进程 文件 : iexplore 或 者 iexplore.exe 
进程 名 称 : microsoft internet explorer 
作用 : iexplore.exe 是 Microsoft Intemet Explorer 的 主 程序 。 这 个 微软 Windows 应 用 程序 让 用 
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户 实现 网 上 冲浪 和 访问 本 地 internet 网 络 。 


3. rundll32.exe 

进程 文件 : rundll32 或 者 rundll32.exe 

进程 名 称 : microsoft rundll32 

作用 : rundll32.exe 用 于 在 内 存 中 运行 dl 文件 ， 它 们 会 在 应 用 程序 中 被 使 用 。 这 个 程序 对 系统 


的 正常 运行 是 非常 重要 的 。 


4. ctfmon.exe 

名 称 : alternative user input services 

作用 : ctfmon.exe 是 Microsoft Office 产品 套装 的 一 部 分 。 它 可 以 选择 用 户 文字 输入 程序 。 
5. winlogon.exe 

进程 文件 : winlogon 或 者 winlogon.exe 

进程 名 称 : microsoft windows logon process 

作用 : winlogon.exe 是 Windows 域 登陆 管理 器 。 它 用 于 处 理 登 录 和 退出 系统 过 程 。 

6. wdfmgr.exe 

进程 文件 ， wdfimgr 或 者 wdfmgr.exe 

进程 名 称 : windows driver foundation manager 


作用 : wdfmgr.exe 是 微软 Microsoft Windows Media Player 10 播放 器 的 相关 程序 。 该 进程 用 于 


减少 兼容 性 问题 。 


7. alg.exe 

进程 文件 ，alg 或 者 alg.exe 

进程 名 称 : application layer gateway service 

作用 : alg.exe 是 微软 Windows 操作 系统 自 带 的 程序 。 它 用 于 处 理 微 软 windows 网 络 连 接 共享 


和 网 络 连接 防火 墙 。 


8. smss.exe 


进程 文件 ，smss 或 者 smss.exe 
进程 名 称 : session manager subsystem 
作用 : smss.exe 是 微软 Windows 操作 系统 的 一 部 分 。 该 进程 调用 对 话 管理 子 系统 和 负责 操作 


系统 的 对 话 。 


9. explorer.exe 


进程 文件 : explorer 或 者 explorerexe 

进程 名 称 : microsoft windows explorer 

作用 : explorerexe 是 Windows 程序 管理 器 或 者 Windows 资源 管理 器 , 它 用 于 管理 Windows 图 形 
包括 开始 菜单 、 任 务 栏 、 桌 面 和 文件 管理 。 删 除 该 程序 会 导致 Windows 图 形 界面 无 法 适用 。 
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10. csrss.exe 


进程 文件 :csrss 或 者 csrss.exe 
进程 名 称 : microsoft client/server runtime server subsystem 


作用 : csrss.exe 是 微软 客户 端 /服务 端 运行 时 子 系统 。 该 进程 管理 Windows 图 形 任 务 。 
11. lsass.exe 


进程 文件 :lsass 或 者 lSass.exe 
进程 名 称 : local security authority service 
作用 : lsass.exe 是 一 个 关于 微软 安全 机 制 的 系统 进程 ,主要 处 理 一 些 特殊 的 安全 机 制 和 登录 策 


12.timplatform.exe 


timplatform.exe 是 QQ 和 Tencent Messenger 共同 使 用 的 外 部 应 用 开发 接口 管理 程序 ， 属于 QQ 
不 可 或 缺 的 底层 核心 模块 。 如果 删除 该 程序 ，QQ 将 丧失 与 周边 功能 模块 以 及 外 部 应 用 程序 相互 调 
用 的 功能 。 


9.3.2 查看、 新建 和 关闭 系统 进程 


在 Windows XP 系统 中 ， 可 以 在 【Windows 任务 管理 器 】 窗 口中 查看 、 新 建 和 关闭 系统 进程 。 
下 面 介 绍 查看 、 新 建 和 关闭 系统 进程 的 具体 操作 步骤 。 


0 在 Windows XP 系统 中 , 按 下 【CtrlHDel+Alt] 组 合 键 ， 即 可 打开 【Windows 任务 管理 器 】 
窗口 。 在 其 中 即 可 看 到 当前 系统 正在 运行 的 进程 ， 如 图 9-20 所 示 。 
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W023 选择 【文件 】〗>【 新 建 任务 】 莱 单 命令 ， 即 可 打开 【创建 新 任务 〗 对 话 框 。 在 【打开 】 
文本 框 中 输入 新 建 的 进程 名 称 ， 单 击 【确定 】 按 钮 即 可 创建 一 个 新 的 进程 ， 如 图 9-21 所 示 。 
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辐 如 


打开 (@): |Exploer. EXE| v 


确定 _] [ET 
图 9-21 


io3j 可 以 在 【Windows 任务 管理 器 】 窗 口 设置 显示 进程 的 各 个 属性 。 在 【Windows 任务 管理 
器 】 窗 口中 选择 【查看 】〗>【 选 择 列 】 命 令 ， 即 可 打开 【选择 列 〗 对 话 框 ， 如 图 9-22 所 示 。 


请 选择 “任务 管理 器 ”进程 页 上 将 显示 的 列 。 


页 面 讲 误 增 量 由 ) 
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口 I/o 写 入 字 节 
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图 9-22 


I0 旨 选择 【PID (进程 标识 符 ) 〗 复 选项 ， 单 击 【 确 定 〗 按 钮 即 可 在 【Windows 任务 管理 器 】 
窗口 看 到 各 个 进程 对 应 的 PID 号 ， 如 图 9-23 所 示 。 
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io 曙 在 【Windows 任务 管理 器 〗 窗 口中 选中 要 结束 的 进程 ， 单 击 【 结 束 进程 】 按 钮 ， 即 可 关 
闭 该 进程 ， 如 图 9-24 所 示 。 
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图 9-24 


06j 如 果 删 除 的 是 系统 进程 ， 则 会 弹出 【任务 管理 器 警告 〗 对 话 框 。 此 时 应 该 单 击 【 否 】 按 
钮 取消 删除 进程 ， 如 图 9-25 所 示 。 


9.3.3 ”查看 进程 起 始 程序 


可 以 通过 查看 进程 的 起 始 程序 ， 来 判断 哪些 进程 是 录 
的 具体 操作 步骤 。 

01 在 【命令 提示 符 】 窗 口中 输入 查看 进程 svchost 进程 的 起 始 程序 的 “Netstat -abnov” 命 令 ， 
如 图 9-26 所 示 。 


进程 。 下 面 来 介绍 查看 进程 起 始 程序 


NDOWS\syst en32\cad. exe + 


图 9-26 
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02j 按 下 【 回 车 键 〗3， 即 可 在 反馈 的 信息 中 查看 每 个 进程 的 起 始 程序 或 文件 列表 ， 如 图 9-27 
所 示 ， 这 样 就 可 以 根据 相关 的 知识 来 判断 是 否 为 病毒 或 木马 发 起 的 程序 。 


NIDOWSNsystea32\Vcat 
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图 9-27 


9.4 网 络 安全 防护 策略 


实施 网 络 安全 保护 时 ， 可 以 将 网 络 安全 分 为 多 个 部 分 ， 分 别 实施 。 主 要 有 : 物理 安全 防护 、 
主机 安全 防护 、 应 用 程序 和 服务 安全 防护 、 网 络 结构 安全 防护 。 下 面 分 别 做 介绍 。 


9.4.1 物理 安全 防护 
物理 设备 是 整个 网 络 的 基础 ， 所 谓 物 理 安全 防护 就 是 保护 这 些 计算 机 、 路 由 器 、 交 换 机 、 网 


线 等 物理 设施 的 安全 。 
通常 保护 物理 安全 可 以 从 以 下 几 点 考虑 。 


1. 自然 灾害 


一 般 认为 是 无 法 控制 的 一 类 安全 威胁 ， 常 见 的 自然 灾害 有 : 地 震 、 水 灾 、 火 灾 等 。 
对 付 这 些 自然 灾害 只 能 采取 防 吕 于 未 然 的 方式 ， 可 以 建设 安全 的 机 房 建筑 , 增强 其 抗震 、 防火、 防 
水 能 力 。 

2. 电源 故障 

网 络 的 运行 需要 电源 做 支持 ， 但 是 难免 会 出 现 电 网 故障 的 现象 ， 为 了 保证 网 络 不 会 受 电源 的 
影响 ， 应 当 增 加 UPS 不 间断 电源 。 

3. 人 为 操作 失误 或 错误 


设备 安装 、 使 用 过 程 中 ， 很 容易 出 现 操作 错误 ， 特 别 是 计算 机 。 解 决 这 部 分 故障 ， 需 要 操作 
者 具有 良好 的 技术 水 平和 工作 态度 。 
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4. 设备 被 盗 、 被 毁 

这 是 比较 恶意 的 行为 ， 特 别 是 在 室外 安放 的 设备 ， 比 如 运营 商 在 外 分 布 的 接 入 点 。 这 需要 配 
备 标准 机 柜 ， 并 在 重要 设备 附近 增加 监控 设备 。 

5. 电磁 干扰 

一 般 在 高 压 线路 设备 附近 会 产生 强 电 磁场 ， 产 生 的 电磁 信号 会 严重 影响 网 络 弱电 系统 的 信和 号 
传输 ， 一 般 建议 强 电 和 弱电 分 离 安装 ， 对 于 有 环境 限制 的 要 确保 在 弱电 系统 外 有 屏蔽 层 。 

6. 线路 截获 


很 多 网 络 线路 是 暴露 在 外 的 ， 攻 击 者 如 果 可 以 接触 到 线 缆 就 可 以 实现 信息 截获 。 所 以 要 确保 
线路 隐蔽 ， 或 不 可 触及 。 


7. 高 可 用 性 的 硬件 
硬件 设备 自身 的 稳定 性 也 是 很 重要 的 ， 在 进行 设备 采购 时 一 定 要 确保 设备 性 能 及 其 可 用 性 。 
8. 元 余 备 份 技术 


网 络 一 旦 出 现 故 障 ， 可 能 整个 网 络 的 业务 都 无 法 正常 使 用 ， 为 了 网 络 的 不 间断 使 用 ， 可 以 使 
用 双 机 热 备 、 以 太 网 信道 、 系 统 群 集 等 技术 实现 见 余 备 份 。 即 使 出 了 故障 也 可 以 确保 网 络 正 常 的 运 
行 。 


9.4.2 主机 安全 防护 


主机 安全 防护 主要 针对 的 是 网 络 设备 、 服 务 器 、 主 机 的 操作 系统 ， 需 要 确保 这 些 系统 安全 可 
靠 。 除 了 网 络 设备 自 带 的 系统 镜像 外 ， 使 用 最 多 的 操作 系统 是 Microsoft 的 Windows server 2003、 
Windows server 2008、Windows XP、Windows 7，Linux 的 红旗 、 红 帽 、CentOS， 还 有 UNIX 和 其 
他 各 厂商 自己 的 系统 。 其 中 ，Windows 系列 的 服务 器 操作 系统 中 小 企业 使 用 比较 多 ， 但 其 安全 性 
却 是 最 弱 ， 相 比 之 下 ，Linux 系列 的 操作 系统 要 安全 很 多 。 结 合 业务 需求 ， 企 业 应 尽量 选择 安全 级 
别 高 的 系统 。 

当然 ， 这 些 系统 没有 一 个 是 绝对 安全 的 ， 大 都 存在 有 漏洞 和 兼容 性 问题 。 在 使 用 时 需要 实时 
更 新 补丁 ， 同 时 要 规范 使 用 方法 ， 如 安全 登录 系统 ， 不 对 系统 做 错误 的 系统 配置 等 。 

通常 可 以 使 用 系统 性 能 分 析 、 漏 洞 扫描 和 单机 防 病毒 程序 确保 主机 安全 。 


9.4.3 ”应 用 程序 和 服务 安全 防护 


各 类 应 用 软件 程序 和 服务 器 配置 都 有 可 能 存在 安全 问题 ， 比 如 Office 办 公 软 件 程序 安全 漏洞 、 
WEB 服务 器 安全 问题 。 随 着 应 用 程序 不 断 的 更 新 ， 所 产生 的 安全 问题 也 会 动态 的 更 新 。 不 过 总 的 
来 说 ， 以 Internet 为 基础 的 应 用 程序 安全 问题 为 主 。 

WEB 服务 器 、E-mail 服务 器 、DNS 服务 器 都 是 比较 常见 的 应 用 服务 ， 通 常会 采取 比较 的 方式 
来 实现 ， 比 如 使 用 apachettomcat 搭建 WEB 服务 器 、 使 用 sendmail 搭建 E-mail 服务 器 等 。 


网 络 安全 基础 ”第 9 章 


9.4.4 ”网络 结 构 安 全 防护 


网 络 拓扑 结构 的 设计 对 于 网 络 安全 影响 很 大 。 比 如 服务 器 和 员工 客户 机 如 果 连 接 在 同一 个 局 
域 网 交换 机 下 ， 且 没有 做 任何 安全 隔离 ， 就 很 容易 威胁 服务 器 的 安全 。 

网 络 拓扑 连接 即便 看 着 很 合理 也 不 一 定 就 能 确保 安全 ， 还 要 配置 合理 的 网 络 流量 控制 与 网 段 
隔离 。 而 且 不 同 节点 的 性 能 也 要 满足 要 求 ， 比 如 核心 设备 的 性 能 需要 满足 所 有 分 支 网 段 信息 转发 的 
需求 。 

信息 在 网 络 中 传输 ， 网 络 结构 的 设计 还 需要 满足 对 这 些 信 息 的 加 密 、 认 证 保护 功能 。 比 如 使 
用 安全 的 通信 协议 ， 高 级 别 的 加 密 手 段 等 。 


9.5 ”专家 答疑 


(1) 有 哪些 技术 可 以 用 于 实现 网 络 安全 ? 

答 : 加 密 技术 、 认 证 技术 、 系 统 安全 分 析 、 防 火 墙 、 漏 洞 扫 面 与 安全 风险 评估 、IDS 入 侵 检测 、 
恶意 代码 防护 、 审 计 与 因特网 内 容 分 析 、VPN。 

(2) 防火 墙 和 IDS 入 侵 检测 系统 有 什么 差异 ? 

答 : 防火 墙 主要 用 于 防护 企业 外 部 网 络 攻击 ， 具 有 很 好 的 隔离 内 网 功能 。 企 业 防 火 墙 可 以 作 
为 内 网 的 安全 网 关 , 确保 内 网 免 受 外 网 非法 用 户 的 入 侵 。 防火 墙 可 以 通过 服务 访问 规则 、 验证 技术 、 
包 过 滤 和 应 用 网 关 四 部 分 功能 , 使 流入 流出 的 所 有 信息 被 监控 , 所 有 具有 安全 隐患 的 流量 都 可 以 被 
拒绝 转发 。 

入 侵 检测 系统 是 一 种 主动 保护 自己 免 受 攻击 的 网 络 安全 系统 ， 是 防火 墙 技术 的 合理 补充 ， 入 
侵 检测 系统 能 够 帮助 系统 对 付 网 络 的 攻击 ， 这 就 在 一 定 程度 上 提高 了 系统 管理 员 的 安全 管理 能 力 ， 
包括 安全 审计 、 监 视 、 攻 击 识别 和 响应 等 ， 也 提高 了 信息 安全 基础 结构 的 完整 性 。 

通过 使 用 入 侵 检测 软件 ， 对 计算 机 网 络 或 计算 机 系统 中 的 若干 关键 点 收集 信息 ， 并 对 这 些 信 
息 进行 分 析 , 从 中 发 现 网 络 或 系统 中 是 否 有 违反 安全 策略 的 行为 和 被 攻击 的 迹象 。 与 其 他 安全 产品 
不 同 的 是 , 入 侵 检 测 系 统 需 要 更 多 的 智能 , 它 必 须 可 以 将 得 到 的 数据 进行 分 析 , 并 得 出 有 用 的 结果 。 
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对 于 大 部 分 企业 来 说 ， 最 担心 的 就 是 网 络 安全 问题 。 这 主要 是 受 近 些 年 来 频繁 的 网 络 安全 事 
件 影响 ， 同 时 随 着 信息 产业 的 飞速 发 展 ， 信 息 的 重要 性 也 增强 了 企业 对 安全 的 重视 。 

各 个 企业 纷纷 将 目光 投向 网 络 安全 加 固 ， 各 种 最 新 网 络 安全 产品 被 一 一 部 署 ， 但 是 网 络 攻击 
者 的 手段 很 多 ,即使 是 再 好 的 安全 设备 , 没有 配置 好 也 只 能 做 个 摆设 。 所 以 企业 实施 网 络 安全 加 固 
时 考虑 的 不 应 该 只 是 设备 有 多 新 ， 而 应 该 是 如 何 更 全 面 的 保证 网 络 安全 。 

本 章节 将 结合 一 个 企业 网 络 环境 ， 对 其 进行 网 络 安全 分 析 及 网 络 安全 方案 设计 。 


10.1 项 目 介绍 


首先 来 了 解 一 下 企业 的 概况 及 网 络 现状 。 

1. 公司 简介 

某 IT 企业 成 立 于 2004 年 ， 有 200~300 名 员工 ， 主 要 从 事 软 件 开发 及 电子 产品 生产 。 在 这 七 
年 时 间 里 , 企业 有 了 飞速 的 发 展 ， 除 了 北京 总 部 外 ， 在 全 国 各 地 还 有 多 家 子 公 司 。 在 北京 总 部 ， 员 
工 数量 比较 多 ， 除 此 之 外 还 有 一 部 分 员工 需要 经 常 出 差 移 动 办 公 。 在 各 个 子 公司 ， 员 工 数量 相对 较 
少 ， 主 要 进行 产品 加 工 及 分 销 工作 。 

2. 网 络 现状 

网 络 现状 可 以 总 结 为 以 下 几 点 。 


(1) 全 部 使 用 Cisco 产品 ， 并 使 用 了 三 层 交 换 机 。 

(2) 总 公司 与 子 公司 业务 量 比较 少 ， 通 过 QQ 等 互联 网 工具 进行 通信 。 

(3) 企业 有 一 部 分 移动 及 家 庭 办 公 员 工 。 

(4) 在 总 公司 内 配置 了 供 员工 访问 的 FTP、WEB、 数 据 库 等 服务 器 , 。 

(5) 为 了 宣传 企业 形象 ， 在 公共 网 络 IDC 机 房 托 管 一 台 服 务 器 ， 用 于 发 布 企业 官方 网 站 、 
OA 及 邮件 系统 。 

(6) 企业 总 部 员工 使 用 全 交换 网 络 互联 ， 为 了 减少 广播 使 用 了 VLAN 隔离 。 

(7) 企业 总 部 出 口 采用 10M 光纤 ， 子 公司 一 般 采 用 4M 宽带 。 
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3. 网 络 拓扑 


根据 网 络 环境 绘制 如 图 10-1 所 示 网 络 拓扑 图 。 


服务 器 群 组 
某 公司 网 络 工程 图 例 园 


IDC 机 房 托管 服务 器 


移动 及 家 庭 办 公用 户 


172,18.0,0/16 


| 
' 
| 
172.19.0.0/16 


子 公司 及 合作 企业 


VLAN 1—10: 172.16.1.0~172.16.10.0 
工作 区 1 


图 10-1 
4. 网 络 安全 现状 
企业 网 络 环境 已 成 规模 ， 但 是 网 络 安全 隐患 很 多 ， 目 前 存在 的 网 络 安全 问题 有 以 下 几 点 。 


(1) 企业 内 网 服务 器 安全 性 较 低 ， 没 有 实施 安全 加 固 。 

(2) 网 络 设备 未 作 安全 配置 ， 存 在 安全 隐患 。 

(3) 子 公司 和 移动 及 家 庭 办 公 员 工 需 要 访问 企业 网 络 资源 时 没有 安全 保障 , 信息 容易 被 窃取 。 
(4) 企业 对 外 发 布 服务 器 放 在 IDC 机 房 托 管 ， 不 便于 安全 管理 。 

(5) 企业 网 络 员工 比较 多 ， 网 络 攻击 及 病毒 威胁 频繁 。 


结合 以 上 网 络 安全 问题 ， 该 企业 必须 做 出 及 时 的 安全 加 固 调整 。 


10.2 需求 分 析 


结合 企业 网 络 安全 现状 ， 做 出 如 下 分 析 。 
1. 服务 器 安全 级 别 低 ， 易 频繁 受到 攻击 


企业 服务 器 分 为 两 部 分 ， 一 个 是 内 网 服务 器 ， 一 个 是 外 网 服务 器 。 该 企业 内 部 服务 器 通过 一 
台 交换 机 连接 到 核心 三 层 交 换 机 上 ， 与 内 部 员工 处 于 同一 个 交换 网 络 ， 虽 说 有 VLAN 隔离 ， 但 是 
在 核心 交换 机 上 没有 做 好 访问 控制 ， 员 工 客户 机 依然 会 威胁 到 内 网 服务 器 安全 。 而 外 网 服务 器 在 
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IDC 机 房 托管 ， 和 其 他 众多 服务 器 放置 在 一 起 ， 虽 说 在 IDC 机 房 出 口 有 网 络 安全 设备 ， 但 是 只 要 
有 一 台 服 务 器 受到 威胁 ， 其 他 IDC 机 房 的 服务 器 都 会 有 安全 隐患 ， 同 时 企业 重要 数据 放置 在 IDC 
机 房 服务 器 中 很 容易 被 人 恶意 拷贝 。 

对 于 服务 器 来 说 ， 最 主要 的 威胁 就 是 网 络 攻击 和 病毒 ， 目 前 网 络 环境 中 只 有 一 个 防火 墙 具 有 
较 强 的 安全 隔离 作用 ， 无 法 达到 网 络 安全 的 要 求 。 

解决 办 法 : 首先 需要 对 所 有 服务 器 实施 反 病 毒 系统 ， 同 时 要 在 服务 器 上 配置 基于 主机 的 IDS 
入 侵 检测 系统 。 其 次 要 做 到 对 外 部 网 络 攻击 实时 监控 ， 除 了 上 面 的 基于 主机 IDS 外 ， 还 要 在 网 络 
中 加 入 基于 网 络 的 IDS 入 侵 检 测 系统 。 再 次 ， 为 了 保证 企业 重要 数据 的 安全 ， 在 IDC 机 房 服务 器 
只 放置 必要 的 对 外 发 布 服务 即 可 ， 其 他 需要 对 外 发 布 的 服务 器 放置 在 出 口 防火 墙 设备 的 DMZ《〈 隔 
离 区 ) 中 。 最 后 ， 为 了 防止 内 网 员工 主机 威胁 服务 器 ， 可 以 在 关键 网 络 设备 上 配置 访问 控制 策略 。 


2. 网 络 设备 存在 安全 隐患 


网 络 设备 自 出 厂 之 后 有 很 多 的 默认 配置 ， 这 些 默 认 配置 很 有 可 能 被 网 络 攻击 者 利用 ， 同 时 网 
络 设备 自身 也 存在 一 些 漏洞 。 现 在 大 部 分 的 网 络 都 是 交换 网 络 ， 一 旦 有 一 个 网 络 设备 被 攻击 , 很 有 
可 能 将 威胁 延伸 到 其 他 设备 及 其 网 络 。 

解决 办 法 : 尽量 不 采用 设备 的 默认 配置 ， 并 及 时 更 新 网 络 设备 的 系统 ， 能 够 添加 认证 、 口 令 
的 位 置 尽量 添加 。 

3. 子 公司 和 移动 及 家 庭 办 公 员 工 访问 企业 网 络 没 有 安全 保障 


子 公司 和 总 公司 昌 然 业务 量 很 少 ， 但 是 这 些 业 务 信息 如 果 被 窃取 也 可 能 造成 不 小 的 损失 ， 同 
时 部 分 员工 需要 在 外 或 家 中 移动 办 公 , 办 公 中 难免 要 访问 企业 内 的 服务 器 或 网 络 , 这 部 分 信息 也 需 
要 被 安全 保护 。 

解决 办 法 : 对 移动 及 家 庭 办 公用 户 可 以 采用 远程 访问 VPN 技术 连接 ， 而 和 子 公司 之 间 传 输 的 
信息 量 相对 较 多 一 些 ， 也 需要 长 期 保持 联系 ， 则 可 以 采用 IPSec VPN 技术 。 


4. 企业 员工 主机 频繁 遭受 网 络 攻击 及 病毒 威胁 


企业 员工 比较 多 ， 一 旦 有 一 台 感 染 了 病毒 或 木马 ， 又 或 者 遭 到 了 网 络 攻击 ， 就 很 有 可 能 威胁 
到 全 网 安全 .病毒 或 木马 会 迅速 扩散 到 整个 网 络 , 单 靠 个 人 防火 墙 及 杀毒 软件 根本 不 可 能 彻底 清除 ， 
同时 员工 的 计算 机 水 平 差异 很 大 ， 很 多 员工 没有 能 力 进行 安全 防护 。 

解决 办 法 : 单 靠 员工 个 人 根本 不 行 ， 所 以 需要 在 网 络 攻 击 到 达 员 工 主机 之 前 被 尽量 的 屏蔽 掉 ， 
对 于 没 能 屏蔽 掉 的 网 络 威胁 ， 需 要 进行 控制 ， 这 主要 可 以 通过 两 种 手段 解决 : 一 方面 在 网 络 入 口 位 
置 架 设 基于 网 络 的 入 侵 检测 系统 、 防 火 墙 系统 ; 另 一 方面 在 整个 网 络 运行 企业 版 网 络 反 病毒 系统 ， 
通过 网 络 管理 员 对 全 网 所 有 主机 进行 病毒 监控 和 查 杀 。 

通过 以 上 分 析 ， 可 以 对 网 络 实施 以 下 改造 。 

(1) 对 网 络 内 所 有 主机 、 服 务 器 安装 企业 反 病毒 客户 端 ， 能 实现 通过 企业 反 病 毒 控 制 端 进行 
全 网 病毒 监控 、 扫 描 、 查 杀 。 

(2) 对 企业 内 所 有 服务 器 架设 基于 主机 的 入 侵 检测 系统 ， 同 时 在 出 口 防 火 墙 内 网 接口 下 连接 
基于 网 络 的 入 侵 检测 系统 。 


.242 。 
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(3) 将 IDC 机 房 托管 服务 器 上 的 企业 重要 数据 信息 放置 到 企业 内 部 发 布 , 在 出 口 防火 墙 配置 
DMZ 区 ， 用 于 发 布 这 些 重要 数据 业务 服务 。 
(4) 尽量 关闭 所 有 服务 器 、 网 络 设备 的 安全 漏洞 ， 通 过 访问 控制 尽量 限制 无 意义 或 有 安全 威 
胁 的 流量 。 
(5) 对 在 外 办 公 及 子 公 司 配置 VPN， 主 要 采用 IPSec VPN 和 远程 访问 VPN。 
结合 以 上 改造 内 容 ， 可 对 企业 网 络 拓扑 图 进行 调整 ， 调 整 后 的 拓扑 图 如 图 10-2 所 示 。 


安装 企业 反 病毒 客户 端 和 
某 公司 网 络 工程 图 例 gg 基于 主机 的 入 侵 检测 系统 


se 
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侵 检测 系统 
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安装 企业 反 病毒 程序 
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浮 --------- 子 公司 及 合作 企业 
所 有 员工 客户 机 安装 企业 反 病 毒 客户 端 


图 10-2 


10.3 项 目 实施 流程 


整个 网 络 可 以 分 为 总 公司 内 网 、 内 网 网 络 出 口 和 总 公司 外 网 三 部 分 。 整 个 网 络 安全 改造 方案 
的 实施 ， 也 可 以 从 这 三 个 部 分 分 别 完成 。 结 合 上 文 的 需求 分 析 ， 网 络 安全 改造 方案 实施 步骤 如 下 。 


10.3.1 服务 器 设备 安全 

首先 要 解决 的 是 企业 服务 器 、 客 户 机 和 网 络 设备 的 安全 威胁 问题 ， 解 决 这 几 方 面 的 改造 内 容 
需要 从 以 下 四 点 来 分 别 实现 。 具 体内 容 介绍 如 下 。 

1. Windows 服务 器 安全 


本 方案 中 服务 器 使 用 的 基本 是 Windows 服务 器 ，Windows 服务 器 本 身 的 安全 漏洞 比较 多 ， 所 
以 要 对 所 有 服务 器 进行 补丁 、 漏 洞 更 新 。 另 外 每 一 台 服 务 器 所 发 布 的 服务 都 比较 单一 ， 比 如 WEB 
服务 器 只 需要 发 布 HTTP 的 80 端口 ,同时 为 了 方便 管理 远程 桌面 程序 的 3389 端口 或 其 他 远程 服务 
器 管理 程序 的 端口 ,也 需要 被 允许 访问 。 这 样 一 来 ， 只 需要 允许 这 些 必 要 端口 被 访问 ,其 他 端口 尽 
量 关闭 就 可 以 减少 网 络 威胁 了 。 进 行 操作 时 可 以 通过 组 策略 进行 配置 。 
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在 配置 时 为 了 防止 必要 流量 被 屏蔽 ， 可 以 只 屏蔽 已 知 的 有 安全 威胁 的 端口 ， 常 见 的 有 安全 威 
胁 的 端口 有 TCP 的 135、139、445、593、1025、3389 端口 和 UDP 的 135、137、138、445 端口 ， 
除 此 之 外 还 有 一 些 流行 病毒 的 后 门 端口 ， 如 TCP 的 2745、3127、6129 端口 。 

除了 以 上 配置 之 外 ， 还 可 以 在 服务 器 上 配置 入 侵 检测 系统 ， 来 防护 其 安全 。Windows 服务 器 
本 身 的 不 安全 因素 很 多 , 应 对 种 类 繁多 的 网 络 攻 击 手 段 很 难 做 到 绝对 安全 。 而 入 侵 检测 系统 是 专门 
监测 网 络 入 侵 的 程序 ， 对 于 发 现 、 屏 项 网 络 攻击 有 几 大 优势 。 

入 侵 检 测 系统 有 两 类 ， 分 别 是 : 基于 主机 的 入 侵 检 测 系统 和 基于 网 络 的 入 侵 检 测 系统 。 其 中 
基于 主机 的 入 侵 检测 系统 主要 用 于 防护 单个 服务 器 的 安全 ， 可 以 按照 图 10-3 实施 改造 。 

服务 器 群 组 。 基于 主机 的 入 侵 检测 系统 
某 公司 网 络 工程 图 例 靖 力 同一 一 


入 侵 检测 系统 监控 端 


1 
( Internet) 
网 络 管理 服务 器 es 


2. 网 络 设备 安全 

网 络 设备 作为 网 络 的 重要 组 成 部 分 ， 它 们 的 安全 性 显得 尤为 的 重要 。 网 络 设备 的 安全 问题 主 
要 在 于 默认 配置 及 漏洞 。 很 多 设备 都 配置 了 默认 口令 , 开启 了 很 多 默认 服务 ， 这些 信息 很 容易 被 攻 
击 者 利用 。 同 时 网 络 设备 运行 的 一 些 协议 也 存在 着 漏洞 ， 比 如 SNMP 协议 、CDP 协议 。 所 以 网 络 
设备 配置 后 首先 要 将 其 所 有 可 能 被 利用 的 默认 配置 修改 掉 , 并 将 没有 必要 的 服务 关闭 , 尽量 降低 被 
攻击 的 可 能 性 。 

网 络 设备 作为 网 络 中 大 量 数据 的 必 经 之 地 ， 如 果 能 在 网 络 攻击 经 过 之 前 就 将 其 屏蔽 掉 ， 必 然 
会 减少 很 多 网 络 威胁 , 这 主要 依靠 网 络 设备 的 访问 控制 功能 。 通 过 访问 控制 列表 可 以 禁止 所 有 不 需 
要 或 有 威胁 的 流量 转发 。 

3. 无 线 安全 


本 案例 中 没有 配置 无 线 网 络 ， 但 是 大 部 分 企业 已 经 存在 无 线 网 络 了 ， 而 且 大 都 是 使 用 的 出 口 
无 线路 由 器 的 无 线 功 能 。 本 案例 可 以 在 防火 墙 外 端 加 入 无 线路 由 器 , 或 者 在 交换 机 下 连接 无 线 AP， 
以 作 调整 。 无 线 AP 的 布置 要 满足 覆盖 面 需求 ， 如 图 10-4 所 示 。 
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某 公司 网 络 工程 图 例 国 


{ A 
\ Internet ? 


图 10-4 


使 用 无 线路 由 器 的 默认 配置 ， 无 线 网 络 会 存在 很 多 威胁 ， 首 当 其 冲 的 就 是 无 线 认 证 问题 。 默 认 
所 有 用 户 连 接 无 线路 由 器 可 以 不 用 认证 ， 这 样 任何 一 个 人 通过 无 线 设备 都 可 以 很 轻松 的 访问 公司 内 
网 ， 这 对 于 攻击 者 来 说 无 疑 是 天 大 的 好 事 。 当 然 这 种 事 是 不 允许 发 生 的 ， 所 以 一 般 都 会 进行 无 线 认 
证 连接 。 目 前 使 用 比较 多 的 无 线 加 密 认 证 方式 有 WEP 加 密 、WPA 加 密 和 WPA-PSK 安全 加 密 算法 。 

WEP 无 线 加 密 算法 出 现 比较 早 ， 由 于 使 用 的 是 静态 密 钥 而 非 动态 ， 导 致 WEP 密码 很 容易 被 
监听 到 或 者 破解 。 而 WPA 无 线 加 密 算 法 为 了 增强 无 线 局 域 网 系统 的 数据 保护 和 访问 控制 水 平 ， 采 
用 了 动态 的 加 密 密 钥 ， 是 网 络 业 界 在 证 明 WEP 不 安全 后 ， 提 出 的 代替 WEP 算法 的 一 种 解决 方案 。 
WPA 目前 已 经 升级 到 WPA2， 是 公认 的 比较 安全 的 无 线 加 密 算法 。 但 是 WPA 操作 相对 复杂 ， 因 此 
在 家 庭 或 公司 的 应 用 中 经 常 采用 WPA 的 简化 版 : WPA-PSK 和 WPA2-PSK。WPA-PSK 可 以 看 成 是 
一 个 认证 机 制 ， 只 要 求 一 个 单一 的 密码 就 可 以 连接 到 无 线 网 络 。 

综 上 所 述 ， 在 无 线 网 络 的 环境 中 ， 公 司 有 条 件 的 话 可 以 使 用 WPA 和 WPA2 加 密 。 如 果 使 用 了 
WPA-PSK 加 密 方式 ， 密 码 设置 应 该 尽 可 能 复杂 ， 并 且 要 注意 定期 更 改 密码 。 当 然 在 选择 无 线 加 密 
算法 的 时 候 ， 还 应 该 留意 无 线 客户 端的 性 能 ， 因 为 较 老 的 无 线 客户 端 ， 比 如 说 无 线 网 卡 ， 只 能 支持 
WEP 的 加 密 方式 ， 这 时 候 无 线 AP 的 加 密 就 只 能 选择 WEP 加 密 算法 ， 可 以 通过 尽量 加 大 密码 的 长 
度 和 复杂 度 或 者 更 换 设备 来 解决 。 

4. 企业 反 病 毒 

病毒 一 直 是 网 络 安全 人 员 的 璐 梦 ， 每 一 次 病毒 冲击 都 能 让 网 络 管理 员 彻夜 难 眠 。 除 了 单个 病 
毒 威胁 之 外 , 病毒 还 有 一 个 传播 速度 快 的 特征 ,一 个 病毒 散播 出 去 , 一 夜 之 间 互 联网 上 就 会 有 儿 十 
万 甚至 上 百 万 的 用 户 被 感染 。 而 在 企业 内 部 ， 一 旦 有 主机 感染 了 病毒 ， 其 他 主机 很 快 也 会 被 感染 。 
这 样 依靠 用 户 个 人 的 杀毒 软件 根本 无 法 清除 干净 ， 所 以 就 有 了 企业 反 病 毒 系统 。 

企业 反 病毒 系统 主要 由 两 部 分 组 成 : 企业 版 杀毒 软件 和 管理 控制 台 。 需 要 在 每 一 台 客 户 机 、 
服务 器 上 安装 企业 版 杀毒 软件 , 同时 要 找 一 台 管 理 机 安装 管理 控制 台 工具 。 用 户 可 以 使 用 本 机 的 企 
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业 版 杀毒 软件 进行 病毒 扫描 、 查 杀 , 同时 也 可 以 由 管理 员 借助 管理 控制 台 进 行 全 网 病毒 监控 和 全 网 
病毒 查 杀 。 借 助 管理 控制 台 还 可 以 定制 网 络 病毒 扫描 、 查 杀 计 划 任 务 。 
常见 的 企业 反 病 毒 系统 有 诺顿 、ESET NOD32、 卡 巴 斯 基 、360、 趋 势 科技 等 。 各 个 厂商 的 产 
品 都 有 自己 的 优势 ， 且 配置 方法 略 有 不 同 。 改 造 后 的 网 络 拓扑 图 如 图 10-5 所 示 。 
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所 有 员工 客户 机 安装 企业 反 病毒 客户 端 
图 10-5 


10.3.2 ”网 络 出 口 安全 


企业 内 部 网 络 的 安全 ， 绝 大 部 分 需要 依靠 网 络 出 口 的 安全 设置 。 一 般 网 络 出 口 在 做 安全 配置 
时 会 采用 防火 墙 、 防 毒 墙 、 基 于 网 络 的 入 侵 检测 三 项 技术 。 防 毒 墙 可 以 是 一 款 硬 件 设备 ， 因 为 本 案 
例 已 经 采用 了 企业 防 病毒 系统 , 所 以 在 网 络 出 口 没 有 配置 防毒 墙 。 下 面 详细 介绍 企业 防火 墙 和 入 侵 
检测 系统 的 实施 方法 。 

1. 企业 防火 墙 

企业 网 络 现状 是 只 有 内 外 两 个 出 口 的 双向 防火 墙 ， 防 止 了 外 部 网 络 的 攻击 ， 但 是 企业 大 部 分 
的 对 外 发 布 服务 都 放 在 了 IDC 机 房 托 管 服务 器 上 ， 不 利于 重要 数据 的 安全 防护 ， 所 以 在 改造 时 ， 
将 企业 重要 信息 服务 放 到 内 网 对 外 发 布 。 

由 于 企业 内 网 用 户 群 比较 大 ， 信 息 相 对 混杂 ， 如 果 直 接 和 企业 内 部 服务 器 放 在 一 起 ， 会 有 安 
全 隐患 。 所 以 这 里 借助 防火 墙 的 DMZ (隔离 区 )， 将 对 外 发 布 服务 器 安全 隔离 ， 这 样 内 外 网 都 可 以 
访问 该 服务 器 ， 同 时 也 不 会 造成 安全 威胁 。 

上 述 部 署 需要 出 口 防火 墙 支持 DMZ 接口 配置 ， 其 实 大 部 分 的 硬件 防火 墙 都 支持 该 功能 ， 如 果 
出 口 使 用 计算 机 安装 的 软件 防火 墙 ， 多 增加 一 块 网 卡 即 可 。 

环境 配置 好 之 后 ， 最 主要 的 还 是 访问 规则 的 配置 ， 在 配置 防火 墙 时 默认 所 有 流量 都 不 允许 通 
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过 ， 只 需 将 必须 的 流量 配置 为 转发 即 可 。 不 同 的 企业 访问 规则 要 求 也 不 相同 ， 一 般 会 有 以 下 儿 点 。 
(1) 允许 内 部 员工 访问 DMZ 区 服务 器 和 外 部 互联 网 。 
(2) 发 布 DMZ 区 服务 器 ， 人 允许 外 部 网 络 对 其 进行 访问 。 
(3) 限制 员工 的 网 络 访问 时 间 及 访问 权限 ， 禁 止 访问 游戏 、 娱 乐 型 网 站 ， 如 开心 网 、QQ 农 
场 等 。 


(4) 限制 员工 的 视频 流量 、BT 或 迅雷 下 载 流量 ， 减 少 带宽 浪费 。 
(5) 人 允许 网 络 管理 员 远程 监控 防火 墙 ， 限 制 其 他 员工 访问 。 
目前 企业 使 用 比较 多 的 防火 墙 有 ISA Server 2006、Cisco ASA 5500 系列 、 天 融 信 、 华 为 赛 门 铁 
克 等 。 除 了 ISA Server 2006 以 外 ， 大 部 分 都 是 硬件 防火 墙 。 虽 然 产 品 不 同 ， 但 是 配置 规则 大 同 小 
异 。 改 造 后 的 网 络 拓扑 图 如 图 10-6 所 示 。 
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由 于 在 这 一 步 才 加 入 DMZ 区 ， 所 以 DMZ 区 的 服务 器 需要 在 此 单独 加 入 基于 主机 的 
入 侵 检测 系统 和 企业 反 病 毒 系统 客户 端 。 
提 示 
2. 基于 网 络 的 入 侵 检测 系统 


对 于 企业 网 络 来 说 ， 除 了 病毒 威胁 ， 另 一 个 就 是 网 络 攻击 了 。 企 业 网 络 无 时 无 刻 不 在 承受 网 
络 攻击 的 威胁 ， 特 别 是 知名 大 公司 。 

对 于 网 络 攻 击 ， 防 火 墙 可 以 起 到 很 大 的 防护 作用 ， 但 是 对 于 安全 级 别 要 求 很 高 的 企业 来 说 ， 
这 远 远 不 够 。 很 多 网 络 攻 击 利用 加 过 隐藏 的 方式 , 可 以 逃避 防火 墙 的 扫描 。 而 且 很 多 防火 墙 只 能 做 
到 分 析 传输 层 以 下 的 信息 ， 如 果 利 用 的 是 应 用 层 攻击 ， 防 火 墙 不 一 定 能 够 有 效 ， 所 以 增加 补充 技术 
是 必须 的 ， 这 里 主要 的 补充 技术 是 基于 网 络 的 入 侵 检测 系统 。 

通常 需要 对 防火 墙 过 滤 的 数据 流 进 行 二 次 扫描 过 滤 ， 可 以 在 防火 墙 后 端 直接 加 入 一 台 入 侵 检 
测 系统 。 入 侵 检测 系统 有 软件 、 硬 件 两 类 产品 ， 本 案例 采用 的 是 软件 ， 通 过 交换 机 连接 一 台 入 侵 检 
测 系统 来 实现 安全 过 滤 。 改 造 后 的 网 络 拓扑 图 如 图 10-7 所 示 。 
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10.3.3 ”远程 用 户 的 安全 接 入 


对 于 子 公 司 、 移 动 及 家 庭 办 公 员 工 来 说 ， 需 要 经 常 和 企业 内 部 网 络 进 行 通信 ， 访 问 内 部 网 络 
服务 器 或 者 和 内 部 员工 交流 信息 , 有 时 可 能 还 会 进行 视频 会 议 。 这 些 流量 直接 通过 简单 的 互联 网 连 
接 到 企业 网 络 ， 根 本 无 法 保证 其 安全 ， 所 以 需要 寻求 一 种 安全 加 密 的 连接 手段 。 

VPN (虚拟 专用 网 ) 技术 ， 可 以 在 不 改变 现 有 网 络 连接 结构 的 情况 下 ， 在 总 公司 防火 墙 到 子 
公司 或 在 外 移动 办 公 员 工 之 间 建 立 一 条 加 密 的 虚拟 隧道 连接 。 通 过 这 种 连接 方法 可 以 让 这 些 网 络 用 
户 和 总 公司 连接 时 像 是 局 域 网 互联 一 样 。 外 部 网 络 攻击 者 很 难 窃取 使 用 这 种 方法 传输 的 通信 信息 。 

在 实施 时 ， 移 动 或 家 庭 办 公 员 工 不 需要 长 期 保持 连接 ， 可 以 使 用 远程 访问 VPN 连接 。 而 子 公 
司 和 总 公司 通信 频繁 ， 需 要 使 用 IPSec VPN 保持 长 期 的 连接 。 

配置 时 ， 可 以 在 网 络 出 口外 连接 使 用 专业 的 VPN 设备 ， 也 可 以 使 用 出 口 防 火 墙 或 路 由 器 自 带 
的 VPN 功能 。 改 造 后 的 网 络 拓扑 图 如 图 10-8 所 示 。 
服务 器 群 组 
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10.4 专家 答疑 


(1) 是 不 是 按照 以 上 方案 配置 必要 的 安全 设备 就 可 以 保证 网 络 安全 了 ? 

答 : 随 着 信息 技术 飞速 的 发 展 ， 任 何 技术 都 不 可 能 是 完美 的 ， 所 以 也 不 可 能 存在 绝对 安全 的 
网 络 ， 除 非 将 企业 网 络 和 互联 网 彻底 物理 隔离 。 

服务 器 、 网 络 设备 会 不 断 的 有 新 漏洞 产生 ， 每 一 个 漏洞 都 有 可 能 被 网 络 攻击 者 利用 。 网 络 环 
境 在 使 用 中 也 会 不 断 的 变化 , 如果 不 加 注意 很 容易 在 使 用 中 增加 安全 隐患 。 作 为 网 络 管理 员 ， 不 可 
能 绝对 的 保证 网 络 安 全 ， 但 是 却 可 以 通过 及 时 的 网 络 更 新 、 漏 洞 扫描 、 流 量 分 析 等 操作 降低 安全 威 
胁 。 同 时 网 络 管理 员 也 需要 不 断 的 学 习 新 技术 ， 了 解 各 种 攻击 手段 ， 使 网 络 安全 防护 更 有 针对 性 。 

(2) 是 不 是 所 有 网 络 都 需要 布 署 本 案例 的 安全 技术 呢 ? 

答 : 本 案例 的 安全 技术 只 是 普通 网 络 的 通用 安全 解决 方案 ， 并 不 是 所 有 网 络 的 安全 部 署 都 相 
同 ， 需 要 根据 当前 的 网 络 环境 、 业 务 需要 做 调整 。 但 是 ， 大 体 上 用 到 的 还 是 这 些 技术 ， 只 是 技术 应 
用 或 部 署 的 方法 有 所 改变 。 
比如 证 券 、 银 行 等 机 构 有 很 多 小 的 办 事 点 ， 特 别 是 银行 有 很 多 ATM 取款 机 ， 这 些小 网 点 互联 
时 使 用 的 可 能 还 是 VPN 技术 , 但 却 不 一 定 会 使 用 IPSec VPN 了 。 一 般 使 用 MPLS VPN,， 这 种 VPN 
技术 可 以 按照 流量 收费 ， 不 需要 ATM 机 做 其 他 网 络 连接 。 

又 比如 ， 大 型 企业 网 的 防火 墙 只 依靠 一 个 带 DMZ 区 的 三 向 防火 墙 可 能 不 能 满足 安全 需求 ， 需 
要 配置 更 安全 的 防火 墙 方案 ， 如 高 可 用 性 的 双核 心 防火 墙 或 高 安全 性 的 前 后 端 防火 墙 。 

再 比如 ， 有 些 网 络 没有 重要 的 服务 器 ， 网 络 安全 级 别 要 求 比较 低 。 这 样 的 网 络 可 能 就 不 需要 
基于 主机 的 入 侵 检测 系统 ， 甚 至 连 基于 网 络 的 入 侵 检 测 系统 也 不 需要 。 

所 以 网 络 安全 方案 要 完全 依照 自身 网 络 的 需求 进行 设计 。 


.249 。 


第 11 章 Windows Server 2008 系统 安全 


Windows Server 2008 是 微软 推出 的 新 一 代 服 务 器 操作 系统 ， 和 Windows Server 2003 操作 系统 
相 比 ,不 仅 功能 上 有 了 很 大 的 提升 ,而 且 在 系统 安全 性 上 也 得 到 了 很 大 的 提高 . Windows Server 2008 
的 安全 性 主要 涉及 到 系统 安全 、 防 火 墙 安 全 、 端 口 安全 和 策略 安全 等 ， 当 然 系 统管 理 员 需 要 根据 实 
际 情况 来 启用 不 同 的 安全 策略 。 


11.1 Windows 系统 漏洞 安全 


系统 漏洞 是 指 应 用 程序 或 者 操作 系统 在 设计 上 的 缺陷 ， 从 理论 上 讲 系统 漏洞 是 不 可 避免 的 。 
但 这 些 漏洞 缺陷 常常 会 被 非法 用 户 利用 ， 有 些 甚 至 将 木马 、 病 毒 等 有 害 程序 安装 在 服务 器 中 ,窃取 
服务 器 数据 ， 因 此 及 时 地 进行 漏洞 扫描 是 保证 服务 器 安全 性 的 有 效 措施 之 一 。 


11.1.1 系统 漏洞 扫描 

对 于 Windows 系统 而 言 ， 在 操作 系统 安装 完成 或 者 是 系统 升级 后 都 会 产生 漏洞 ， 这 时 候 就 需 
要 对 系统 进行 漏洞 扫描 ， 然 后 对 高 危害 性 漏洞 及 时 打 补 丁 ， 以 增加 系统 的 安全 性 和 可 靠 性 。MBSA 
(Microsoft Baseline Security Analyzer) 又 叫 微软 基准 安全 分 析 器 ， 可 以 扫描 系统 漏洞 。 

1. 安装 MBSA 软件 

安装 MBSA 软件 的 具体 操作 步骤 如 下 。 


0 和 双击 MBSA 安装 文件 ， 弹 出 【MBSA Setup〗 (MBSA 安装 ) 对 话 框 ， 显 示 MBSA 安装 
信息 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 11-1 所 示 。 


Microsoft Baseline Security Analyzer Setup 


Mis stengly teconmenced that you ext a Wirdows progam: beiore near the yeuD pioganm 
Chck Carcel o quit the seup pngam then closs any prog an: you ave rurning Cck Neato 
onlinue he netalalion 


WARNING: This ptogsnis plected by copyight la andirtanatonal 
Unauhogzed 

iv and erinina] paralio and wl be rosected he natnun eent 
Copyicht 2002-2007 Micrasol Coporotion Alighs rcserved. 


| 
图 11-1 
I02) 弹出 【License Agreement】 (许可 协议 ) 对 话 框 , 显示 MBSA 的 安装 协议 ,选择 【I accept 
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the license agreement】 ( 我 接受 许可 协议 ) 单 选 框 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 如 图 11-2 所 示 。 


Se 加 
A | 
ee 
rr 本 


IMICROSOFT BASELINE SECURITY ANALYZER TOOL 


[These license terms are an agreement between Microsoft Corporation (or based 
|on where you Iive, one of its affiiates) and you. Please read them. They apply to 
lthe software named above, which includes the media on which you receved it, 


if any. The terms also apply to any Microsoft 
表明 同意 许 
可 协议 


|。 updates, 


人 
6 Len en peer 
a 


J TT lr | 
图 11-2 
3) 弹出 【Destination Folder】〗 (安装 目录 ) 对 话 框 ， 单 击 【Browse】〗 (浏览 ) 按钮 ， 自 定义 


MBSA 的 安装 路 径 ， 这 里 选择 默认 安装 路 径 为 “C:\ProgramFiles\Microsoft Baseline Security 
Analyzer” ， 单 击 【Next】 (下 一 步 ) 按钮 ， 如 图 11-3 所 示 。 


=5Ix 


Select a folder where the application wil be instaled 岛 


Setup wl nstal the fles for Microsoh Baseine Secuity Anayzer in the folowing folder 

To install into a dlferent iader chck the Browse button, and select another folder 

You ean choose rotlo natal Mierorolt Baseine Secusiy Anabeer by cicking Coneel to 
up 


Destinaion Folder 
| ceonpeeweomnessmeseonynme \ Browse | 


< Back Cancel 
图 11-3 


to 级 弹出 【Start Installation〗 (开始 安装 ) 提示 框 ， 提 示 上 面 填写 的 安装 信息 是 否 正确 ， 单 
击 【Install〗 (安装 ) 按钮 ， 如 图 11-4 所 示 。 


二 加 
和 
Cick Install to stat appiication inslalation 所 
Click Install to stat application inslalation 
Press Back to review you selections 


ee | Den 


图 11-4 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


105) 弹出 【MBSA Setup】〗 (MBSA 安装 ) 提示 框 ， 单 击 【OK] (确定 ) 按钮 ， 完 成 MBSA 
的 安装 ， 如 图 11-5 所 示 。 
本 


Microsoft Baseline Security Analyzer Setup 
has completed successfuly 


图 11-5 
2. 利用 MBSA 进行 漏洞 扫描 
利用 MBSA 进行 漏洞 扫描 的 具体 操作 步骤 如 下 。 


0 人 选择 【开始 】〗 关 【所 有 程序 】 关 【Microsoft Baseline Security Analyzer】〗 菜 单 命令 ， 打 开 
MBSA 软件 ， 单 击 左 侧 【Scan a computer】〗( 扫 描 一 个 计算 机 ) 菜 单 ， 表 示 要 扫描 一 个 计算 机 ， 如 图 
11-6 所 示 。 


Check computers for common security 
misconfigurations 


The Microsoft Boselne Securiy Analyzer con check computers running 
Microsoft Wndows Server 2008 R2, Windows 7, Windows Server 2003, 
Windows Server 2008, Wndows Vista, Windows XP or Windows 2000. 
Scanning computers for security updates utlizes Windows Server Update 
Services You must have adminictrator privieges for oach computar you want 
to scan。 


WW sena computer 


Check a computer using its name or IP Address 


歧 5@nmuuple computers 
Check multiple computers using e domain name or a range of TP 


图 11-6 


92 弹出 【Which computer do you want to scan】〗 (将 要 扫描 哪 台 计算 机 ) 窗口 ， 在 其 中 输入 
扫描 计算 机 的 信息 。 在 【IP address〗 (IP 地 址 ) 文本 框 输入 要 扫描 的 计算 机 的 信息 ， 这 里 输入 
“192.168.1.104”， 单 击 【Start Scan〗 (开始 扫描 ) 按钮 ， 如 图 11-7 所 示 。 
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输入 要 扫描 计算 
机 的 他 地 址 


WV Check for Windows administratve vuinerabiities 
区 chedefor weac pozeverde 
check for ns odininistrabve xunerabites 
(check for sa aamnsratve vunerabenes 
区 Checkfor seanity updstes 
所 confre comouters fr MromftUpdate and scarning prerequsites 国 


图 11-7 


M03) 弹出 【Scanning...】〗 (扫描 ) 窗口 ， 提 示 MBSA 正在 从 微软 官网 下 载 安全 升级 信息 ， 如 
图 11-8 所 示 。 


ine Security Analyzer 


Scanning... 


[ 


Downloading seauriy update nformation from Mecrosoft.. 


图 11-8 


t@ 约 升级 完毕 后 ， 打 开 新 页 面 ， 提 示 MBSA 软件 正在 对 名 称 为 【WIN-013D26R8BJX] 的 计 
算 机 进行 扫描 ， 如 图 11-9 所 示 。 


Analyzer 


全 合 S t 
7 Baseline Security Analyzer 


Currently scanning WORKGROUP\WIN-O13D26R8BJX 


IE 


Dere torioadine searity update niomasan 


图 11-9 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


I05) 扫描 完成 ,显示 扫描 结果 信息 。 滚动 页 面 ， 显 示 出 扫描 到 的 目标 主机 的 问题 。 在 【Issue】 
(问题 ) 列 显示 的 是 扫描 的 是 Windows 安全 信息 还 是 SQL Server 安全 信息 ; 在 【Result】〗( 结果) 
列 显示 扫描 的 问题 . 单 击 【Windows Security Updates】〗( Windows 安装 更 新 ) 行 后 的 【Result details】 
( 扫描 结果 信息 报告 ) 超级 链接 ， 如 图 11-10 所 示 。 


sd 扫描 出 的 问题 分 类 
Sao co RESUES 


tpdate nlups ae missng, 1service pads ae 


图 11-10 


tQ6j 弹出 新 窗口 ， 显 示 Windows 系统 的 漏洞 信息 。 单 击 要 安装 的 补丁 超 链接 ， 这 里 单 击 第 一 
个 补丁 超级 链接 ， 如 图 11-11 所 示 。 


line Security Analyzer 


69 security updates are missing. 3 update rolups are missing. 1 service packs are missing. 
Result Details for Windows 


et (ee i 
谨 = 
Severity 


四 


名 

3 

MGLL043 Secuty Uedate for wrdows Server 2008 fag25x27 

un se for temet 7 for Wincons serve 2008 Daas30g 
C3 


图 11-11 


0 本 弹出 【微软 的 安全 更 新 〗 网 页 ， 可 以 根据 系统 的 版 本 等 信息 来 决定 下 载 的 补丁 ， 然 后 进 
行 补丁 安装 ， 如 图 11-12 所 示 。 
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ie 选择 合适 的 补丁 
进行 下 载 
ee a 


FN [io » 三 
图 11-12 
08j 单 击 【Windows Security Updates〗 ( Windows 安装 更 新 ) 行 后 的 【How to correct this】 
( 如何 正确 的 去 做 ) 超级 链接 ， 如 图 11-13 所 示 。 


Baseline Security Analyzer 


ea EE 
Scanned with HBSA version: 2.221700 
Catalog synchronization date: 

Securty update catalog: Mcosoft update | 


SortOrder. [Score (worst ret) 司 
Security Update Scan Results 


Score Issue Result 
Wndows 59 security updates are missng. 3 update rolups we nissing, 1service pads are 
mesng. 


图 11-13 
to9j 弹出 网 页 扫描 报告 ， 告 诉 用 户 如 何 解决 该 安全 问题 ， 如 图 11-14 所 示 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


© © CE 
全 -日 -名 -7 -总 ID- 


图 11-14 
加 0 在 扫描 结果 页 面 中 单 击 【OK】〗 (确定 ) 按钮 ， 可 以 关闭 扫描 结果 窗口 。 


11.1.2 ”漏洞 修补 策略 


系统 管理 员 发 现 漏洞 后 ， 应 该 及 时 进行 漏洞 修补 ， 但 是 所 有 的 漏洞 都 需要 安装 修补 吗 ? 不 是 
的 。 用 户 应 该 根据 不 同 的 系统 ,不 用 的 应 用 和 补丁 的 具体 功能 来 决定 是 否 需要 打 该 补丁 ， 否 则 如 果 
给 系统 安装 了 不 适合 的 补丁 , 不 仅 解决 不 了 系统 安全 问题 ， 反 而 有 可 能 造成 不 可 弥补 的 损失 , 在 安 
装 补丁 的 时 候 应 该 注意 以 下 信息 。 

1. 及 时 备份 数据 

在 系统 安装 补丁 或 者 系统 更 新 之 前 最 好 及 时 进行 数据 备份 ， 以 免 因 为 漏洞 补丁 的 问题 ， 造 成 
系统 错误 或 者 数据 丢失 。 一 般 情况 下 应 该 在 安装 补丁 之 前 及 时 对 补丁 安装 相关 分 区 的 数据 和 系统 
DLL 链接 库 的 文件 进行 备份 。 

2. 检查 补丁 信息 

在 安装 补丁 之 前 ， 首 先 应 该 查看 该 补丁 说 明 ， 以 掌握 补丁 用 途 ， 然 后 查询 补丁 安装 需求 ， 因 
为 补丁 一 般 是 针对 特定 的 产品 的 ， 最 后 应 该 查询 补丁 危害 等 级 ， 验 证 服务 器 是 否 必须 安装 该 补丁 。 

3. 选择 补丁 下 载 方式 ， 确 保 补丁 真实 可 靠 

现在 有 很 多 的 漏洞 扫描 工具 ， 可 以 对 系统 的 漏洞 进行 扫描 并 自动 进行 补丁 更 新 操作 。 但 是 对 
于 服务 器 来 说 ， 为 了 保证 服务 器 的 稳定 性 ， 在 安装 补丁 之 前 ， 应 该 考虑 补丁 是 直接 从 互联 网 下 载 ， 
还 是 下 载 到 本 地 后 在 安装 到 服务 器 上 。 一 般 来 说 ， 从 微软 官网 下 载 的 补丁 都 是 安全 可 靠 的 。 
11.1.3 ”系统 更 新 


Windows Server 2008 系统 为 用 户 提 供 了 系统 更 新 的 功能 ， 该 功能 的 主要 作用 就 是 自动 进行 系 
统 和 应 用 程序 的 升级 更 新 ， 进 而 提高 系统 安全 性 。 
设置 系统 更 新 的 具体 操作 步骤 如 下 。 


0 选择 【开始 】>【 控 制 面 板 】 菜 单 命令 ， 打 开 【 控 制 面 板 】 窗 口 ， 单 击 【Windows Update】 
图 标 ， 如 图 11-15 所 示 。 
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图 11-15 
to3 打开 【Windows Update】 窗 口 ， 单 击 【 立 即 启 用 】 按 钮 开始 系统 更 新 ， 如 图 11-16 所 示 。 


OO- i 


文件 四 编 如 中。 查看 包工 具 Q) 帮助 中 
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更 设置 
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重新 壳 见 月 
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i 格 音 重生 3 间 。 从 不 


友 装 更 新 的 8 间 : 从 不 
挤 收 更 条 ENF fine 
了 家 了 其 地 产生 新 | 
请 多 阅 
Ew 的 新 
图 11-16 


toO3j 系统 更 新 程序 正在 检查 系统 更 新 ， 如 图 11-17 所 示 。 


BO Fe woe 
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图 11-17 
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t@ 绰 系统 更 新 检测 完成 后 ， 单 击 【 现 在 安装 】〗】 按 钮 ， 开 始 安装 系统 更 新 ， 如 图 11-18 所 示 。 


二 
UU- 可 i Want [= 画 
编辑 加 坦 看 归 工具 人 者 助 中 
Do is Wadate 9 
村 孔 设 置 
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还 原 隐 藏 的 更 新 『 机 
CR es 
| 几 要 安装 更 新 ，Winsows Jpdate 村 自动 关闭 并 重新 打开 * 
最 近 检 查 更 新 的 H 间 : 从 不 
安装 更 新 的 时 间 | 不 
Yindows 已 每 天 3:00 自动 家装 新 的 更 新 瞧 祥 ) 
接收 更 新 - 识 通用 于 findms* 
[ea | 
请 多 阅 
已 二 装 的 更 新 
图 11-18 


tog 系统 正在 下 载 并 安装 更 新 ， 显 示 下 载 和 安装 进度 条 。 安装 完成 后 ， 单 击 左 侧 【 更 改 设置 】 
选项 ， 如 图 11-19 所 示 。 
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图 11-19 


06) 弹出 【更 改 设置 〗 对 话 框 ， 在 【安装 新 的 更 新 〗 文 本 框 中 输入 自动 安装 更 新 的 时 间 ， 本 


实例 中 输入 每 天 3:00， 表 明 在 以 后 每 天 3:00 系统 自动 扫描 漏洞 然后 进行 更 新 ， 单 击 【 确 定 】 按 钮 ， 
如 图 11-20 所 示 。 
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图 11-20 


11.2 ”Windows 端口 安全 


端口 又 叫 通信 端口 ， 是 计算 机 与 计算 机 之 间 通 信 的 出 口 。 在 互联 网 中 人 P 地 址 可 以 帮助 计算 机 
连接 到 另外 一 台 计 算 机 上 , 但 是 必须 借助 于 端口 才能 访问 目的 计算 机 的 特定 服务 。 计 算 机 上 的 服务 
使 用 的 端口 是 不 能 重复 的 ， 比 如 默认 情况 下 Web 服务 器 使 用 的 端口 是 80，FTP 服务 器 使 用 的 端口 
是 21 等 ， 很 多 服务 器 遭受 到 攻击 ， 就 是 因为 黑客 利用 计算 机 开启 的 端口 进行 了 攻击 。 因 此 ， 系 统 
管理 人 员 必 须 掌握 常见 端口 的 使 用 方法 ， 以 及 如 何 开启 和 关闭 某 个 端口 。 


11.2.1 查看 使 用 端口 

一 般 来 说 ， 服 务 器 上 只 开启 必须 运行 的 服务 需要 的 端口 ， 其 他 的 端口 一 律 关闭 。 在 关闭 端口 
之 前 首先 应 该 查询 系统 开启 了 哪些 端口 。 

1. 查看 当前 有 哪些 计算 机 正在 和 本 机 连接 ， 包 括 使 用 的 IP 地 址 、 端 口 等 信息 

信息 查看 的 具体 操作 步骤 如 下 。 

0 和 单 击 【 开 始 】 >【 运 行 】 菜 单 命令 ， 弹 出 【运行 】 对 话 框 ， 在 【打开 ]】 文 本 框 中 输入 “cmd” 
命令 ， 单 击 【确定 〗】 按 钮 ， 如 图 11-21 所 示 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


,02 弹出 【命令 提示 符 】〗 对 话 框 ， 输 入 “netstat -an” 命 令 ， 按 【Enter] 键 确认 ， 则 可 以 看 到 
操作 系统 正在 进行 的 通信 连接 情况 ， 如 图 11-22 所 示 。 


忆 管 理 员 : ovs\systen32\ 


8-B.B-B:8 
B-9.B-B:B 


图 11-22 
本 地 地 址 是 指 操作 系统 正在 用 本 地 的 哪个 主机 IP 和 端口 与 外 界 通信 。 
@ 外 部 地 址 是 指 操作 系统 正在 与 外 部 的 哪个 主机 IP 和 端口 进行 通信 。 
2. 查看 本 机 进程 的 端口 占用 情况 
查看 本 机 的 什么 进程 占用 哪个 端口 的 具体 操作 步骤 如 下 。 
04 单 击 【 开 始 ] >【 运 行 】 菜 单 命令 ， 弹 出 【运行 】 对 话 框 ， 在 【打开 ]】 文 本 框 中 输入 “cmd” 

命令 ， 单 击 【 确 定 】〗】 按 钮 ， 如 图 11-23 所 示 。 
CE x 


亏 ) ”Windows 将 根据 您 所 给 入 的 名 称 ,为 您 打开 相应 的 程序 
文件 夹 、 文档 或 Internet 资源 。 


打开 (Qj: [cmd | 
办 棕 使 用 管理 权限 创建 此 任务 。 


CC 本 | 开 SB)-… 


图 11-23 
02 弹出 【命令 提示 符 〗 对 话 框 ， 输 入 “netstat -bn” 命 令 ， 按 【Enter]】〗 键 ， 则 可 以 看 到 操作 
系统 的 哪个 进程 占用 了 哪个 端口 ， 如 图 11-24 所 示 。 
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288.49.52.99:88 


图 11-24 
11.2.2 ”配置 端口 


通过 运行 端口 查看 命令 ， 可 以 发 现 系统 很 多 端口 都 是 默认 开启 的 ， 这 就 为 服务 器 的 安全 留 下 
了 隐患 ， 必 须 将 可 能 存在 安全 风险 的 端口 及 时 关闭 。 比 如 常见 的 TCP 端口 135、139 和 1025，UDP 
端口 123、137、138 等 。 

1. 关闭 服务 法 


网 络 服务 需要 和 外 界 进行 通信 ， 这 时 就 需要 用 到 端口 ， 有 时 候 一 个 网 络 服务 需要 一 个 端口 ， 
比如 FTP 服务 需要 21 端口 ， 因 此 要 想 关 闭 21 端口 ， 只 需要 将 FTP 服务 器 关 掉 即 可 。 有 时 候 一 个 
网 络 服务 却 需要 多 个 端口 。 

以 关闭 FTP 服务 为 例 ， 关 闭 端 口 的 具体 操作 步骤 如 下 。 
04 单 击 【 开 始 〗 二 【运行 】 菜 单 命令 ， 弹 出 【运行 】〗 对 话 框 
“services.msc” 命令 ， 单 击 【 确 定 〗 按 钮 ， 如 图 11-25 所 


语 运 行 


， 在 【打开 】 文 本 框 中 输入 


二 ”Windows 梅 根据 您 所 给 入 的 名 称 ， 为 您 打开 相应 的 程序 
文件 夹 、 文 档 或 Internet 资源 。 


打开 (Q): |services.msc 


办 将 使 用 管理 权限 剑 杆 此 任务 。 


图 11-25 
.02 弹出 【服务 】 窗 口 ， 找 到 【FTP Publishing Services】〗 服 务 ， 如 图 11-26 所 示 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


[SE TelE| 
| 文件) 操作 0) 查看 W 帮助 0 
| 和 和 中 |[E 昌 G39 ony 


a ss 
rr rahlashtag Serviee - | 可 
Bere Flierine ， 基 。 已 计生 放 本 地 服务 
人 上 EB 务 ccfiene 从 到 本 直系 统 
生息 上 有 8 务 cwe rey Tsolation cms a 本 地 系统 
S com Event set 支 。 已 Bj 多 本 地 服务 
co syst 类 ” 管 。 已 Bj 所 本 系统 于 
访 Compster Browser 维 大 用 本 地 系统 
人 eraphie 提 已 启动 自动 网 绕 服 务 
FTP] 报 务 过 。 停 本 ervar Pr. 已 启动 村 系 
器 将 不 能 作为 PTF 服务 器 运行 。 如 果 Cn 2- E: Ee Smee 
二 用 此 明秀 ， 风 任何 明博 信 术 下 它 的 EE 
甩 务 都 村 2 DHCP Client 为 . 已 启动 自动 本 地 服务 
诊 已 让 自动。 本 地 妥 务 
诊 扫 。。 本 了 务 
诊 已 启动 手动 本 地 系统 
Distributed Li. 维 . 已 启动 ”自动 本 地 系统 
bea Tr 协 二 自动 
高 DIS Client DRS. 目 动 
FTP 服务 tea hat 可 ES 
i 区 
ise 发 了 Ht 有 和 
rom PaiorC 该 本 地 系统 晶 
扩展 《本 二 1 j 
图 11-26 


03j 右 击 【FTP Publishing Services〗 服 务 ， 在 弹出 的 快捷 菜单 中 选择 【属性 】 菜 单 命令 ， 如 
图 11-27 所 示 。 


文件 0 操作 OA 查看 VW) 帮助 00 
各 中 | 癌 BT ren, 


| 


| | 本 录 为 | 
te 从 手动 本 地 系统 


和 cw rr Isolvtion cm 手动 本 地 系统 

Cott zmat syztee 支 已 启动 自 取 本 地 职务 

服务 3coh srtm 昌 -， 管 .已 BR 动 手动 本 地 系统 

er 闪 禁用 本 地 系统 

可 提 ”已 启动 自动 网 络 那 务 

公 许 此 3 和 蝇 作为 一 个 文件 共和 协议 为 ..， 已 自动 自动 本 地 系统 
TD) 服 务 器 。 如 果 停 上 此 服务 服务“ 提 .， 已 启明 自动 本 地 科 壹 时 

品格 7 TP 服 和 如 运行: 如 果 DiCP client 为 .， 已 记 动 自动 本 地 最 务 

划 用 此 有 务 ， 风 任何 明太 信 六 于 它 的 2 

下 Dismostic Pil.. ， 论 ..，。 已 启动 自动 本 地 哮 和 

iceontie se 诊 手动 本 地 服务 

Dispostic sys..， 诊 ..… 已 自动 手动 本 地 系统 

Distribated Li..， 扒 .…， 已 启 曙 自动 本 地 系统 

Distribated Tr..， 协 .。 已 启动 自动 三。 网 络 那 务 

MB Diant TS 已 启动 自动 网 络 对 

etensisle At 可 手动 本 地 系统 


Petion 
SFmetion 


了 
mM FAR fr Polishine Servics 「 i 


图 11-27 
to 多 弹出 【FTP Publishing Service 属性 】 对 话 框 ， 在 【启动 类 型 〗 下 拉 列 表 中 选择 【禁用 】 
选项 ， 单 击 【 停 止 】 按 钮 ， 然 后 单 击 【 确 定 】 按 钮 ， 如 图 11-28 所 示 。FTP 服务 已 经 关闭 ，FTP 服 
务 所 使 用 的 21 端口 也 被 自动 关闭 。 
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FIP Publishing Service 的 民 性 (全 地 计算 机 x 


常规 | 登录 “| 恢复 “| 依存 关系 | 


服务 名 称 ; MSFIPSYC 
显示 名 称 :FTP Publishing Servi 


io: 于 女 群 佣 


可 执行 文件 的 路 径 中 
C: Windows\systen32\inetsrv\inetinEo. exe 


ee 
————— 
户 二 加) 售 止 中 暂停 全 ) | 恢 四 下) | 


当 从 此 处 启动 服务 时 ， 您 可 指定 所 适用 的 启动 多 数 。 
启动 多 孝 鸡 ) | 


wn | a | 
图 11-28 


2. IP 安全 策略 法 
利用 IP 策略 可 以 关闭 服务 器 不 需要 开启 的 端口 或 者 只 开启 服务 器 需要 开启 的 端口 ， 从 而 达到 
保证 服务 器 安全 的 目的 。 本 实例 通过 介绍 不 允许 访问 服务 器 的 139 端口 为 例 ， 来 介绍 如 何 使 用 人 P 
安全 策略 关闭 端口 ， 具 体操 作 步 又 如 下 。 
IQ 和 9 单 击 【 开 始 】〗>【 运 行 】〗 菜 单 命令 ， 弹 出 【运行 】 对 话 框 ， 在 【打开 】 文 本 框 中 输入 
“gpedit.msc” 命 令 ， 单 击 【 确 定 〗 按 钮 ， 如 图 11-29 所 示 。 
EE 


Windows 梅 根据 您 所 输入 的 名 称 ， 为 您 打开 相应 的 程序 、 
ES 文件 夹 、 文 档 或 Internet 资源 。 


FO): [gpedit ms ” 
网 将 使 用 管理 权限 创建 此 任务 。 


Ce ] ww | we. | 


图 11-29 


92 弹出 【本 地 组 策略 编辑 器 】 窗 口 ， 在 左 侧 选项 列表 中 选择 【计算 机 配置 】> 【Windows 
设置 】>【 安 全 设置 】> 【IP 安全 策略 】〗 选 项 ， 如 图 11-30 所 示 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


文件 四 操作 多 查看 四 帮助 0 
和 四 | 方 | 于 | G 避 | 旧 本 | 鲁 语 
梧 本 地 站 机 要 要 入 [里 


日 渍 计算 机 配置 己 EEEE 


' 


2011/6/28 2 


图 11-30 


3) 右 击 【IP 安全 策略 】 选 项 ， 在 弹出 的 快捷 菜单 中 选择 【创建 IP 安全 策略 〗 菜 单 命令 ， 如 
图 11-31 所 示 。 


| 本 地 组 第 相近 部 台 | 
文件 ) 操作 0) 查看 w) 帮助 00 
和 和 中 | 六 IT G3 日 丁 | 放 守 


局 本 地 计算 机 第 蜀 ES EE T= | 上 ; 四 
日 昌 计算 机 配置 和 新 IP 安全 策 赂 否 2011/6/28 2 
由 国 软件 设置 


图 11-31 
四 旨 弹出 【了 安全 策略 向 导 】〗 对 话 框 ， 单 击 【 下 一 步 〗 按 钮 如 图 11-32 所 示 。 
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欢迎 使 用 IP 安全 策略 向 导 


要 继续 ， 请 单 击 “ 下 一 步 ”。 


上 - 步 可 [下 - 步 om ) 取消 
图 11-32 
tog 弹出 【IP 安全 策略 名 称 】〗 对 话 框 ， 在 【名 称 】 文 本 框 中 输入 名 称 “ 禁 用 139 端口 ”, 单 
击 【 下 一 步 〗 按 钮 ， 如 图 11-33 所 示 。 
可 
I 安全 策略 名 称 
命名 这 个 IF 安全 第 略 并 且 绽 出 一 个 简短 的 所 述 
名 称 0) 


| 葵 用 1333 湛 口 


据 术 中) 
二 


| 


图 11-33 
06j 弹出 【安全 通讯 请 求 〗】 对 话 框 ， 单 击 【下 一 步 】〗 按 钮 ， 如 图 11-34 所 示 。 
可 
安全 通讯 请 求 
指定 这 个 策略 如 何 对 安全 通讯 的 请 求 作出 响应 。 


有 中 为 


mn Winaows Vista 上 无 效 。 它 仅 在 较 早 版 本 的 Windows 


厂 者 活 默认 响应 规则 ( 仅 限于 Yindows 的 早期 版 本 ) B)。 


《上 - 步 四 取消 


图 11-34 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 具 于 Windows 平台 


本 弹出 【正在 完成 全 安 全 策略 向 导 】〗 对 话 框 ， 选 择 【 编 辑 属 性 】 单 选 框 ， 单 击 【 完 成 】 按 
钮 ， 如 图 11-35 所 示 。 
正在 完成 IP 安全 策略 向 导 


您 已 成 功 地 完成 指定 您 的 新 IP 安全 策略 的 属性 。 


人 
F 玉生 属性 吕 ) 


请 单 击 “ 完 成 ”来 关闭 此 向 导 。 


‘sw a | 
图 11-35 


08j 弹出 【禁用 139 端口 属性 】 对 话 框 ， 单 击 【 添 加 ]】 按钮 ， 如 图 11-36 所 示 . 
I 


规则 | 常规 | 


| 


了 ? 安全 规 出 C1); 


划 
m 


添加 0). | 编 缉 @) | 5 党 | 订 使 用 “添加 向 叶 ” 
CE |] ms | 


图 11-36 


W039) 弹出 【安全 规则 向 导 】 对 话 框 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 11-37 所 示 。 
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欢迎 使 用 创建 IP 安全 规则 向 导 
2 
唐人 5 亚 科 选 器 列 


安全 操作 


要 继续 ,请 单 击 “ 下 一 步 ”。 


图 11-37 
0] 弹出 【隧道 终结 点 了 对 话 框 ， 选 择 【 此 规则 不 指定 隧道 】 单 选 按钮 ， 单 击 【 下 一 步 】 按 
钮 ， 如 图 11-38 所 示 . 


世 
说 道 终结 点 

人 
可 吧 表 过 公用 
指定 IP 安全 规 IM9 儿 对 终结 点 - 
个 此 规 JN 下 指定 阴道) 
个 隧道 终结 点 由 下 列 I 地 址 指定 0); 

hw 隧道 终结 点 - 

Iw 隧道 终结 点 - 

< 上 -9) 取消 


图 11-38 


加 各 弹出 【网 络 类 型 〗 对 话 框 ， 选 择 【 所 有 网 络 连 接 】 单 选 按钮 ， 单 击 【 下 一 步 〗 按 钮 ， 如 


图 11-39 所 示 。 
到 


个 远程 访问 名 ) 


《上 一 步 @) 取消 


图 11-39 


中 小 型 企业 网 络 管 理 实战 委 典 基于 Windows 平台 


蜡 浊 弹出 【IP 筛选 器 列表 】〗 对 话 框 ， 单 击 【下 一 步 】 按 钮 ， 如 图 11-40 所 示 。 
支 全 规则 向 导 | 


项 选中 列表 
请 为 采用 这 个 安全 规则 的 IP 流 里 类 型 选 择 IF 节选 器 来。 


如 果 下面 的 列表 没有 符合 您 需要 的 I 般 选 器 ， 请 单 击 “ 渗 加 ”来 创建 新 的 。 
下 入 和 器 列表 CD) 


添加 的 
9 坊 术 四) 
[ky 


L$m[FSm3] mn | 
图 11-40 
蜡 3j 弹出 【IP 筛选 器 列表 】 对 话 框 ， 在 【名 称 】〗 文 本 框 中 输入 IP 筛选 器 列表 的 名 称 为 “禁止 
139 端口 通信 ”， 选 择 【 使 用 添加 向 导 】 复 选 框 ， 单 击 【 添 加 】 按 钮 ， 如 图 11-41 所 示 。 


划 
EB 人 二 


扬 壕 加) | 


| 司 几 [ED 
了 可“ 四 


图 11-41 


型 汐 弹出 【IP 第 选 器 向 导 】〗 对 话 框 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 11-42 所 示 。 


欢迎 使 用 IP 筛选 器 向 导 


i 


要 继续 ,请 单 击 “ 下 一 步 ”* 


二 四 | 下 =- 步 o > 取消 


图 11-42 
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型 色 弹出 【IP 往 选 器 描述 和 镜像 属性 】 对 话 框 ,在 【描述 】 文 本 框 中 输入 描述 信息 “禁止 139 
端口 通信 ”， 选 择 【 镜 像 〗 复 选 框 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 11-43 所 示 。 


Ee 
IT 第 迁 和 者 术 和 入 多 导 性 
所 壕 加 )- 
秽 可 
型 


— mw | 
图 11-43 


加 6 弹出 【了 王 流 量 源 〗 对话 框 ， 在 【 源 地 址 〗 下 拉 菜 单 中 选择 【任何 卫 地 址 选项 ， 单 击 【 下 
一 步 】 按 钮 ， 如 图 11-44 所 示 。 


< 上 -上 9 [FSm3] mw | 
图 11-44 


证 细 弹出 【了 流量 目标 〗】 对 话 框 ， 在 【目标 地 址 】〗】 下 拉 列 表 中 选择 【我 的 耳 地 址 〗 选 项 ， 如 
图 11-45 所 示 ， 单 击 【 下 一 步 】 按 钮 。 
习 
IP 流量 目标 
指定 匡 注 量 的 目标 地 址 。 


目标 地 址 地 ); 


| 


图 11-45 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


型 8j 弹出 【IP 协议 类 型 〗 对 话 框 ， 在 【选择 协议 类 型 〗 下 拉 列 表 中 选择 【TCP】 选 项 ， 如 图 
11-46 所 示 ， 单 击 【 下 一 步 】 按 钮 。 
可 


了 ? 协议 大 型 
部 亚 协议 闫 型 。 如 果 类 型 是 TCF 或 UDP， 您 持 同 时 指定 源 和 目标 庙 


选择 协议 类 型 @) 
er 到 
下 | 


《< 上 - 步 田 [下 - 步 四 让 9 消 


图 11-46 


晶 9j 弹出 【IP 协议 端口 〗 对 话 框 ， 选 择 【从 任意 端口 ] 和 【到 此 端口 〗 单 选 按钮 ， 在 【到 此 
端口 文本 框 中 输入 “139”， 表 明 数 据 包 的 目的 端口 为 139， 如 图 11-47 所 示 ， 单 击 【下 一 步 】 
按钮 。 

划 


了? 协议 端口 
许多 TCP/TP 应 用 程序 协议 建立 在 常用 的 TCP 或 mp 端口 上 。 


WE Wy 
三 MW ®): 
个 到 任意 满口 中 
© BND OO: 
=) 7 .| 
图 11-47 
区 gj 弹出 【正在 完成 卫 筛选 器 向 导 】 对 话 框 ， 单 击 【完成 】 按 钮 ， 如 图 11-48 所 示 。 
DOEEEEEB | 


正在 完成 IP 筛选 器 向 导 


您 已 直 功 注 守 成 工 生计 器 向 导 。 
FR 


三 编 属 性 0) 


请 单 击 “ 完 成 ”来 关闭 出 向导 。 


<t-#m[ AR | ms 


图 11-48 
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必 划 返回 【IP 筛选 器 列表 】〗 对 话 框 ， 单 击 【 确 定 】〗 按 钮 ， 如 图 11-49 所 示 。 


四 
于 。 这样, 多 个 了 网、 本 地 直 和 协议 可 被 


图 11-49 
也 双 返回 【新 规则 属性 】 对 话 框 ， 选 择 【 禁 止 139 端口 通信 】 单 选 按钮 ， 如 图 11-50 所 示 ， 


选择 【筛选 器 操作 】 选 项 卡 。 


4| 
了 稍 先 器 列 表 | 条 和 器 操作 | 身份 只 证 方法 | 隧道 设置 | 连接 类 型 | 


又 六 拘 到 比 1 


J 了? 箱 造 器 列表 0L) 


勾 选 禁止 139 端 
口 通信 筛选 器 


添加 .| 编辑 ) .| Wj () 


图 11-50 


LE3j 弹出 【筛选 器 操作 】〗 对 话 框 ， 单 击 【 添 加 】 按 钮 ， 如 图 11-51 所 示 。 


中 小 蜡 企 业 网 络 管 理 实战 宝典 基于 Windows 平台 


划 
了? 迄 选 器 列表 稍 丢 器 操作 | 身份 给 证 方法 | 隧道 设置 | 连接 类 型 | 


ee 人 


使 用 添加 向 导 


添加 WD. | 编辑 四 .| 三 可 和 一 使 用 “添加 铝 导 ”四 ) 


Cm] | snw | 
图 11-51 
区 约 弹出 【筛选 器 操作 向 导 】 对 话 框 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 11-52 所 示 。 


向 导 El 


欢迎 使 用 IP 安全 筛选 器 操作 向 导 


使 用 此 向 导 来 指定 新 福 选 器 操作 的 属性 。 


i 
ts ey 


要 继续 ， 请 单 击 “ 下 一 步 ”。 


图 11-52 


区 g 弹出 【筛选 器 操作 名 称 】 对 话 框 ， 在 【名 称 】 文 本 框 中 输入 名 称 为 “禁止 通信 ” ， 如 图 
11-53 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 
到 


季 渤 避 担 作 名 称 
命名 这 个 稍 选 器 操作 并 提供 一 个 简单 的 扬 述 。 


名 称 m: 
[可 
氮 述 吕 ) 


习 


| 


《上 - 步 og) [下 - 步 om )] 取消 


图 11-53 
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芭 6j 弹出 【筛选 器 操作 常规 选项 〗】 对 话 框 ， 选 择 【阻止 】 单 选 按钮 ， 如 图 11-54 所 示 ， 单 击 
【下 一 步 】 按 钮 。 
可 


籍 选 器 操作 荣 规 选项 
设置 乌 先 器 操作 的 行为 。 


个 许可 多 ) 
人 阻止 中 
个 协商 安全 6) 


< sm[F sm)] mn | 
图 11-54 
2 弹出 【正在 完成 卫 安全 筛选 器 操作 向 导 】 对 话 框 ， 单 击 【完成 】 按 钮 ， 如 图 11-55 所 示 。 


正在 完成 IP 安全 筛选 器 操作 向 导 


您 已 成 功 完成 了 IF 安全 第 选 器 操作 向 导 。 
人 


厂 编辑 属性 下) 


请 单 击 “ 完 成 ”来 关闭 此 向 叶 。 


wn | 


图 11-55 


忆 8j 返回 至 【筛选 器 操作 】 对 话 框 ， 选 择 【禁止 通信 】 单 选 按钮 ， 单 击 【应 用 】 按 钮 ， 如 图 
11-56 所 示 ， 然 后 单 击 【 关 闭 〗 按 钮 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


| 
?入 先 器 列 表 迄 先 器 所作 | 身份 验证 方法 | 隧道 设 秆 | 连接 类 型 | 


图 11-56 
i2gj 返回 至 【禁止 139 端口 通信 属性 〗】 对 话 框 ， 如 图 11-57 所 示 ， 单 击 【确定 】 按 钮 。 


禁止 139 端 口 通 信 属性 


入 、 蔡 止 通信 x 
默认 响应 ( 仅 限于 . .。 Kerberos 


4 到 
[ETE 


确定 取消 应 用 以) 


图 11-57 


忆 gj 返回 至 【本 地 组 策略 编辑 器 〗 窗 口 ， 右 击 【禁止 139 端口 通信 了 策略， 在 弹出 的 快捷 菜 
单 中 选择 【所 有 任务 】 关 【分 配 】〗】 菜 单 命令 ， 如 图 11-58 所 示 。 


De 
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EEEEEEEES 


lolx 
双 件 0) 拔 作 风 查看 急 项 助 00 
EE RE 
| -本 | 
加 本 了 所 有 RH 本 机 的 村 


F 


图 11-58 


区划 如 图 11-59 所 示 ， 至 此 【禁止 139 端口 通信 】 安 全 策略 已 经 被 成 功 分 配 。 现 在 所 有 的 计 
算 机 都 被 禁止 同 本 地 计算 机 的 139 端口 通信 ， 也 就 意味 着 成 功 关 闭 了 本 机 的 139 端口 。 


TESTETITTEREEE sl 
文件 )， 宰 作 I 查看 WV) 。 鞭 助 00 

和 史 | 为 | 下 | 轿 吕 | 这 这 

EE EE I I 

二 县 计算 人 本 DT 是 ne/28 10 
日 国生 设 昔 


4 I] 到 | 
[ 


图 11-59 


11.3 Windows 组 策略 安全 


通过 对 组 策略 的 管理 ，Windows Server 2008 可 以 对 计算 机 的 用 户 配置 和 计算 机 配置 进行 安全 


管理 ,加 强 计算 机 的 安全 性 。 当 然 对 于 服务 器 来 说 ,组 策略 更 多 的 针对 安全 策略 和 软件 限制 策略 进 
行 设置 ， 以 提高 服务 器 的 安全 性 。 


11.3.1 安全 策略 


Windows Server 2008 的 安全 策略 主要 针对 计算 机 的 账户 锁定 、 密 码 、 用 户 权限 和 其 他 安全 选 
项 进行 管理 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


1. 账户 策略 
账户 策略 主要 是 对 计算 机 的 密码 策略 和 账户 锁定 进行 管理 ， 作 为 系统 管理 员 应 该 合理 的 设置 
账户 策略 ， 及 时 的 更 改 密码 信息 ， 防 止 服务 器 被 未 授权 的 用 户 访问 。 
设置 账户 策略 的 具体 操作 步骤 如 下 。 
0 和 单 击 【 开 始 〗 二 【运行 】 菜 单 命令 ， 弹 出 【运行 〗 对 话 框 ， 在 【打开 】 文 本 框 中 输入 
“gpedit.msc” 命 令 ， 如 图 11-60 所 示 ， 单 击 【 确 定 】〗 按 钮 。 
到 


Windows 将 根据 您 所 输入 的 名 称 ,为 您 打开 相应 的 程序 、 
Ey 文件 夹 、 文 档 或 Internet 资源 。 


打开) |9peditmsd 如 
网 将 使 用 管理 权限 创建 此 任务 。 


Ce |] ws | wa. | 


图 11-60 


to3 弹出 【本 地 组 策略 编辑 器 】 窗 口 ， 在 左 侧 选 项 列表 中 选择 【计算 机 配置 〗> 【Windows 
设置 〗>【 安 全 设置 】>【 账 户 策略 〗>【 密 码 策略 】〗 选 项 ， 在 右边 可 以 看 到 密码 策略 设 定 的 相关 
内 容 ， 如 图 11-61 所 示 。 
zy 


EIT TE TE 

中 | 为 TN 日 工 

加 RN 

日 上 才 基 可 EL Er 
日 辣 软 伯 3 时 这 澡 攻 了 蓝 信 0 十 字 从 


讼 要 二 5 近江 二 
者 下 【让 / 关 术 ) re we 天 
a hp 强 负 证 码 历史 a 
一 i] 


图 11-61 
密码 策略 设 定 的 相关 内 容 介 绍 如 下 。 
@ 密码 必须 符合 复杂 性 要 求 : 如 果 启 用 该 功能 ， 则 计算 机 用 户 的 密码 必须 包含 大 写字 母 、 小 
写字 母 、 数 字 、 特 殊 字 符 中 的 三 种 ， 并 且 密 码 的 长 度 至 少 6 个 字符 。 
@ 密码 最 长 使 用 期 限 : 设置 密码 最 长 的 使 用 期 限 , 用 户 在 登录 时 ， 如 果 密 码 的 使 用 期 限 已 到 ， 
则 系统 会 要 求 用 户 强制 更 改 密 码 ; 如 果 设 为 0 则 密码 没有 使 用 期 限 ， 默 认 值 为 42。 
@ 密码 最 短 使 用 期 限 : 用 来 设置 密码 的 最 短 使 用 期 限 ， 在 该 期 限 内 用 户 不 得 更 改 密码 。 如 果 
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设 为 0， 表 示 用 户 可 以 随时 更 改 密码 ， 默 认 值 为 0. 

@ ”强制 密码 历史 : 用 户 以 前 设置 的 密码 不 能 被 重复 使 用 的 个 数 ， 黑 认 值 为 0， 表 明 可 以 被 随 
意 重 复 使 用 。 

@ 密码 长 度 最 小 值 : 表明 设置 的 密码 最 小 应 该 为 几 个 字符 ,默认 值 为 0， 表明 可 以 没有 密码 。 

e@ 用 可 还 原 的 加 密 来 储存 密码 : 系统 密码 是 自动 被 加 密 的 ， 当 应 用 程序 需要 读 取 系 统 密码 的 
时 候 密码 需要 被 解密 ， 如 果 需 要 应 用 程序 读 取 系 统 密码 ， 就 应 该 选择 该 选项 。 

io3j 在 左 侧 选 项 列表 中 选择 【计算 机 配置 】> 【Windows 设置 〗> 【安全 设置 〗> 【账户 策 

略 〗>【 账 户 选 定 策略 〗 选 项 ， 在 右边 可 以 看 到 账户 锁定 策略 设 定 的 相关 内 容 ， 如 图 11-62 所 示 。 


aiolil| 


SND WEN MD M0 


图 11-62 

账户 锁定 策略 设 定 的 相关 内 容 介绍 如 下 。 

@ ”账户 锁定 阅 值 ; 账户 在 进行 登录 的 时 候 ， 登 录 失 败 多 少 次 后 账户 就 被 自动 锁定 。 默 认 值 为 
0， 表 明永 远 不 会 被 锁定 。 

@ ”账户 锁定 时 间 : 如 果 账 户 被 锁定 ， 在 管理 员 没有 手动 解锁 的 情况 下 ， 多 长 时 间 后 自动 解锁 。 
如 果 将 锁定 时 间 设 为 0 表明 账户 在 锁定 后 不 会 被 自动 解锁 ， 除 非 由 系统 管理 员 手动 解除 锁定 。 

@ 复位 账户 锁定 计数 器 : 用 来 记录 用 户 登 录 失 败 的 次 数 ， 当 用 户 登 录 失 败 的 次 数 超过 登录 账 
户 锁定 阅 值 ， 账 户 就 会 被 锁定 ， 一 旦 账户 登录 成 功 ， 锁 定 计算 器 的 值 就 会 被 归 零 。 

2. 本 地 策略 


本 地 策略 主要 包含 用 户 权限 分 配 和 计算 机 安全 选项 ， 通 过 对 本 地 策略 的 设 定 ， 可 以 有 效 的 控 
制 用 户 的 权限 和 计算 机 的 安全 。 

配置 本 地 策略 的 具体 操作 步骤 如 下 。 

to0J 单 击 【 开 始 〗>【 运 行 】 菜 单 命令 ， 弹 出 【运行 】〗 对 话 框 ， 在 【打开 】 文 本 框 中 输入 
“gpedit.msc” 命 令 ， 如 图 11-63 所 示 ， 单 击 【 确 定 】 按 钮 。 


277 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


FE 


Windows 相 恨 肥 窗 所 给 入 的 名 称 ,为 多 打开 相应 的 程序 
Ey 文件 夫 、 文 入 三 Internet 资源 


STOF [opedit msd 司 
褒 格 使 用 千 理 权限 创建 此 任务 。 


CJ] wm | we | 


图 11-63 
2 弹出 【本 地 组 策略 编辑 器 】 窗 口 ， 在 左 侧 选 项 列表 中 选择 【计算 机 配置 】> 【Windows 


设置 】>【 安 全 设置 】>>【 本 地 策略 〗>【 用 户 权 限 分 配 〗 选 项 ， 在 右边 会 看 到 用 户 权限 分 配 的 内 
容 ， 如 图 11-64 所 示 。 


EEYEETETB 


文件 所 作 和 查看 mm。 大助 00 
和 中 | 广 吧 | 回 让 
本 FRR 二 机 = I | 
日 一 计算 荔 份 廊 年 和 同好 Miministrate 
四国 软件 设置 加 充当 操作 系统 的 一 部 分 
日 国 加 i Os We 
“Sm emt 
| 
HF gm 认 有 六 访问 此 寺 其 机 
ss 防火 | 四 从 这 和 和 强人 机 
3 FS 二 
日 了 人 | 
ee Bene 副 
I 基干 六 迁 原 文件 和 目录 
昌 司 芝 吉村 和 让 动画 
日 网 用 | 将 工作 法 流 加 并 
回 辐 检 责 名 证 在 由 让 
田 司 wisdws 设置 地 梧 录 
加 给 从 给 访 站 这 后 计算机 
拒 缮 作为 服务 到 洒 
i 
[人 ee dl 
图 11-64 
3) 在 用 户 权限 分 配 策略 中 ， 如 果 要 赋予 某 个 用 户 某 种 权利 ， 双 击 该 项 权利 ， 将 用 户 添 加 即 
可 。 比 如 要 赋予 某 个 用 户 有 关闭 系统 的 权利 ， 则 可 以 在 【用 户 权限 分 配 】 策 略 中 双击 【关闭 系统 】 


选项 ， 单 击 【添加 用 户 和 组 〗】， 将 用 户 添 加 进去 即 可 ， 如 图 11-65 所 示 。 
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9 弛 安全 选项 设 定 ， 单 击 【 安 全 选项 〗】 策 略 ， 在 右 侧 会 看 到 安全 选项 策略 的 相关 内 容 ， 如 图 
11-66 所 示 。 


EEEEETTEE 


文件 9) 扒 作 W。 查看 o。 部 动 00 


图 11-66 

下 面 举 几 个 常用 的 用 户 权 限 分 配 策略 进行 说 明 。 
允许 在 本 地 登录 : 允许 用 户 在 本 台 计算 机 进行 本 地 登录 。 
拒绝 本 地 登录 : 拒绝 用 户 在 本 台 计算 机 上 进行 本 地 登录 。 
关闭 系统 : 允许 用 户 关 闭 计 算 机 。 
更 改 系统 时 间 : 允许 用 户 更 改 计算 机 内 部 的 系统 日 期 、 时 间 。 
管理 审核 和 安全 日 志 : 允许 用 户 指定 要 审核 的 事件 ， 也 允许 用 户 查询 与 清除 安全 日 志 。 
装载 和 秀 载 设备 驱动 程序 : 允许 用 户 加 载 与 秀 载 外 设 驱动 程序 ， 也 就 是 允许 用 户 添加 与 删 
除 硬件 。 

to9g 在 左 侧 选 项 列表 中 选择 【计算 机 配置 】>>【Windows 设置 】>>【 安 全 设置 】>【 本 地 策 
略 】〗>【 安 全 选项 〗 选 项 ， 安 全 选项 主要 是 针对 计算 机 进行 安全 设 定 的 ， 如 果 要 对 某 项 策略 进行 更 
改 ， 直 接 双击 该 策略 ， 然 后 进行 相应 选择 即 可 。 比 如 用 户 在 交互 式 登录 时 ， 不 想 让 按 Ctrl+Alt+Del 
组 合 键 ， 则 可 以 直接 双击 【安全 选项 〗 中 的 【交互 登录 : 无 须 按 Ctrl+AlttDel 属性 】 命 令 ， 然 后 选 
择 【 已 禁用 】 单 选 按钮 ， 如 图 11-67 所 示 ， 单 击 【确定 】〗 按 钮 即 可 。 
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交互 式 登录 - 无须 按 Ctrlt 旭 tthe 民权 EE 
本 地 安全 设置 | 溢 明 | 
痕 交互 式 登录 : 无 筑 按 Ctrl 如 ttDel 


CT 已 启用 加 ) 
= ER 可 


Cw 」 ny 
图 11-67 


下 面 介绍 常用 的 安全 选项 策略 设 定 。 


交互 式 登录 一 一 无 须 按 Ctrl+AltHDel 键 : 计算 机 启动 后 不 需要 按 CtrlHAltHDelete 组 合 键 ， 

直接 出 现 Windows 登录 界面 。 

交互 式 登 录 不 显示 上 次 登录 的 用 户 名 : 计算 机 启动 过 后 出 现 的 Windows 登录 窗口 中 ， 
是 否 显示 上 次 登录 的 用 户 名 。 

关机 一 一 允许 系统 在 未 登录 的 情况 下 关闭 : 账户 在 未 登录 Windows 之 前 是 否 允 许 关闭 计算 机 。 

账户 一 一 管理 员 账 户 状态 : 设 定 管理 员 账 户 的 状态 是 禁用 还 是 启用 。 

账户 一 一 来 宾 账户 状态 : 设 定 来 宾 账 户 的 状态 是 禁用 还 是 启用 。 


11.3.2 ”软件 限制 策略 


软件 限制 策略 主要 是 帮助 用 户 控制 在 服务 器 上 应 用 程序 的 安装 和 应 用 程序 的 使 用 ， 使 用 组 策 
略 的 软件 限制 策略 , 可 以 通过 规则 来 标示 并 设置 安全 级 别 来 指定 软件 是 否 运 行 从 而 保证 服务 器 系统 
的 安全 性 。 在 服务 器 上 实行 软件 限制 策略 ， 本 实例 中 要 求 服务 器 只 能 运行 IIS 服务 。 

具体 操作 步骤 如 下 。 

四 单 击 【开始 〗 关 【运行 】 莱 单 命令 ， 在 弹出 的 【运行 】〗】 对 话 框 中 输入 “gpeditmsc” 命 令 ， 
如 图 11-68 所 示 ， 单 击 【 确 定 〗】 按 钮 。 


EE 对 
Windows 将 根 丘 入 所 给 入 的 全 称 ， 为 坊 打 开 相应 的 程序 . 

写 xe in mtemet 资源 

打 UO |gpeditmsd 可 
隔 将 使 用 管理 权限 创建 此 任务 


| es 


图 11-68 
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2 弹出 【本 地 组 策略 编辑 器 】 窗 口 ， 在 左 侧 选 项 列表 中 选择 【计算 机 配置 】> 【Windows 
设置 】>【 安 全 设置 】>【 软 件 限制 策略 】〗>【 安 全 级 别 】 选 项 ， 在 右 侧 选项 列表 中 双击 【不 允许 
的 〗】 选 项 ， 如 图 11-69 所 示 。 


图 11-69 


to3j 弹出 【不 允许 的 属性 〗】 对 话 框 ， 单 击 【 设 为 默认 〗 按 钮 ， 如 图 11-70 所 示 。 
mee OSS 下 
ma | 


| 
图 11-70 
io 多 弹出 【软件 限制 策略 】 提 示 框 ， 单 击 【 是 】 按 钮 ， 如 图 11-71 所 示 ， 则 服务 器 将 不 能 运 
行 所 有 程序 。 
可 
人 和 


Caw |] xm | 


图 11-71 


tog 返回 【不 允许 的 属性 〗】 对 话 框 ， 如 图 11-72 所 示 ， 单 击 【确定 】〗】 按 钮 。 

to06j 在 左 侧 选 项 列表 中 选择 【计算 机 配置 】>【Windows 设置 〗>【 安 全 设置 】>【 软 件 限 
制 策略 】>【 其 他 规则 】 选 项 ， 在 右边 空白 处 右 击 鼠 标 , 在 弹出 的 快捷 菜单 中 选择 【新 建 路 径 规则 】 
菜单 命令 ， 如 图 11-73 所 示 。 


.281 。 


中 小于 二 


ME 
ju 
| 


号 书目 
:对 


图 11-73 


四 弹出 [新 建 路 径 规 则 】 对 话 框 , 单 击 【 浏 览 ] 按 钮 , 选择 路 径 为 “C:\Windows\system32\inetsrv”， 
需要 注意 的 是 , 这 里 选择 的 路 径 是 想 要 服务 器 运行 的 程序 的 安装 目录 , 本 实例 中 选择 的 路 径 为 IIS 的 安 


装 路 径 ， 在 【安全 级 别 〗 下 拉 列 表 中 选择 【不 受 限 的 〗 选 项， 如 图 11-74 所 示 ， 表 明 可 以 不 受 限 的 访 
问 IIS 管理 器 ， 单 击 【 确 定 〗 按 钮 。 


司 


PR 


-202 


Windows Server 2008 系统 安全 ”第 1) 剖 


08j 打开 “C:\Windows\system32\inetsrv” 目 录 ， 双击 运行 InetMgr.exe 程序 ,如 图 11-75 所 示 。 


LE -oo 
二 Su 
文件 中。 撒 业 四。 王 看 如 工具 DD 村 匠人 


日 
— lola 5 | 


ECL) 
步 闫 入 轨 国 半 


to9j 直接 打开 IIS 管理 器 ， 如 图 11-76 所 示 。 
TREE 


图 11-76 


因 0] 选择 【开始 】 >【 所 有 程序 】>【 管 理工 具 】>【Internet 信息 服务 器 (IIS ) 管理 器 】 菜 
单 命令 ， 弹 出 阻止 提示 ， 如 图 11-77 所 示 。 


C:\Program Files\ 


osoft Baseline Security KA | 
【x) 此 程序 被 组 第 咯 阻止 * 有 关 详 细 信 息 ， 请 与 系统 管理 员 联系 。 


11-77 


出 现 信息 提示 框 的 原因 是 ， 这 种 打开 IIS 管理 器 的 方式 是 利用 快捷 方式 连接 至 IIS 安 
装 目录 打开 的 ， 但 用 户 并 没有 将 IIS 管理 器 的 快捷 方式 所 在 的 目录 放置 在 软件 限制 策 
提 示 。 咯 的 路 径 规则 中 ， 因 此 在 打开 的 时 候 会 提示 此 程序 被 策略 阻止 。 
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11.4 ”项 目 实施 :加强 Internet 信息 服务 安全 


Internet 信息 服务 是 Windows 服务 器 系统 用 来 发 布 网 站 的 一 个 组 件 ， 是 Windows 服务 器 中 最 
常用 的 一 个 服务 ， 因 此 熟练 的 掌握 如 何 加 强 Intemet 信息 服务 的 安全 性 就 成 为 了 每 个 网 络 管理 员 必 
备 的 知识 之 一 。 加 强 Internet 信息 服务 器 安全 的 具体 操作 步骤 如 下 。 


tOJ 进行 漏洞 扫描 和 系统 升级 。 

I02) 关闭 不 需要 的 服务 ， 只 开启 与 Intemet 信息 服务 运行 和 系统 运行 必须 的 服务 。 

I03) 对 组 策略 进行 优化 ， 针 对 Internet 信息 服务 相关 的 用 户 设置 权限 以 及 服务 器 的 安全 设 定 。 

tQ9 开启 Windows 系统 防火 墙 或 者 使 用 中 安全 策略 , 禁止 除了 Internet 信息 服务 之 外 的 所 有 
通信 端口 。 

tog 针对 Internet 信息 服务 的 数据 进行 NTFS 权限 设置 。 


11.5 专家 答疑 


(1) 新 安装 的 Windows Server 2008 有 很 多 漏洞 ， 是 不 是 每 一 个 漏洞 都 需要 安装 补丁 ? 

答 : 并 不 是 每 个 漏洞 都 需要 安装 补丁 ， 漏 洞 补丁 的 安装 需要 根据 系统 的 实际 需求 ， 以 及 漏洞 
的 危害 等 级 来 进行 安装 。 在 重要 的 服务 器 上 安装 漏洞 之 前 ， 最 好 做 好 数据 备份 和 安装 测试 ， 以 免 造 
成 数据 丢失 。 

(2) 系统 端口 是 不 是 开启 的 越 少 越 好 ? 

答 : 是 的 。 计 算 机 与 计算 机 之 间 的 通信 最 终 是 要 具体 到 端口 号 的 ， 无 论 是 正常 访问 某 个 计算 
机 还 是 非法 访问 某 个 计算 机 都 需要 依靠 端口 来 进行 。 因 此 计算 机 开启 的 端口 越 少 , 系统 被 非法 方向 
的 几率 就 越 小 。 一 般 来 说 ， 服 务 器 应 该 只 开启 必须 运行 的 服务 ， 其 余 的 服务 都 关闭 。 

(3) 针对 服务 器 的 实际 需要 ， 对 组 策略 进行 了 设 定 ， 但 是 经 过 检查 无 误 后 ， 组 策略 的 设 定 并 
没有 即时 的 应 用 。 

答 : 针对 组 策略 的 更 改 ， 默 认 值 为 15 分 钟 生 效 ， 当 然 有 些 策略 的 更 改 是 立即 生效 的 。 如 果 经 
过 检查 无 误 后 ,组 策略 的 设 定 还 是 没有 生效 ,可 以 将 计算 机 重新 启动 下 , 组 策略 的 更 改 就 会 随 计算 
机 的 启动 而 生效 。 


“284 。 


第 12 章 网 络 设备 安全 配置 


网 络 环境 中 包含 的 设备 有 路 由 器 、 交 换 机 、 服 务 器 、 终 端 客户 机 、 防 火 墙 、 存 储 设备 等 。 在 
实施 网 络 安全 加 固 时 ， 大 多 数 人 都 会 把 精力 放 在 服务 器 、 终 端 客户 机 、 防 火 墙 、 存 储 等 设备 上 ， 往 
往 忽 略 了 路 由 器 、 交 换 机 等 网 络 设备 的 配置 ， 这 是 不 对 的 。 本 章 以 Cisco 网 络 设备 为 例 ， 详 细 介 绍 
网 络 设备 的 安全 配置 方法 。 


12.1 网 络 设备 安全 概述 


作为 网 络 环境 中 重要 组 成 设备 之 一 ， 网 络 设备 的 安全 是 不 容 忽视 的 。 然 而 很 多 网 络 管理 员 会 
把 全 部 的 精力 放 在 服务 器 、 客户 机 、 防 火 墙 等 设备 的 安全 配置 上 , 对 网 络 设备 的 安全 却 不 怎么 关注 ， 
这 一 行为 往往 会 造成 巨大 的 网 络 安全 隐患 。 为 了 更 有 针对 性 的 进行 网 络 设备 安全 配置 , 下 面 详细 介 
绍 网 络 设备 可 能 存在 的 安全 隐患 ， 以 及 它 可 以 提供 的 安全 功能 。 

首先 ， 傻 瓜 式 交换 机 、 路 由 器 通常 是 被 用 在 最 底层 的 ， 这 些 设备 不 能 进行 管理 配置 ， 所 以 设 
备 本 身 不 存在 安全 问题 ， 不 在 安全 考虑 范围 之 内 。 

其 次 ， 可 通过 Console 控制 口 、Telnet、SSH、AUX 拨号 连接 等 方式 访问 配置 的 设备 ， 因 配置 
信息 可 以 控制 网 络 通信 ， 一 般 都 具有 网 络 安全 问题 。 而 这 类 设备 一 般 都 存在 较 大 的 安全 隐患 。 

网 络 安全 隐患 主要 表现 在 以 下 几 个 方面 。 


1. 人 为 的 配置 错误 


人 无 完 人 ， 在 网 络 设备 的 日 常 配置 管理 过 程 中 ， 技 术 人 员 无 论 技术 水 平 好 坏 ， 都 有 可 能 因为 
操作 失误 或 配置 错误 ， 使 设备 存在 安全 隐患 。 这 类 隐患 一 旦 产生 ， 想 要 排查 出 来 就 很 麻烦 了 。 一 般 
人 为 配置 错误 导致 的 安全 隐患 主要 表现 为 以 下 几 点 。 


(1) 使 用 了 空 密码 、 较 简单 密码 、 默 认 密 码 ， 或 者 明文 密码 ， 而 未 设置 加 密 保护 。 

(2) 没有 对 远程 网 络 管理 设备 配置 访问 控制 策略 ， 使 得 所 有 终端 主机 对 网 络 设备 都 有 配置 权 
限 。 

(3) 访问 控制 配置 不 合理 或 者 配置 错误 ， 导 致 未 能 达到 预期 目的 。 

2. 网 络 设备 的 镜像 系统 存在 漏洞 


网 络 设备 的 操作 系统 用 于 控制 设备 运行 、 数 据 转发 、 路 由 计算 、 访 问 控制 等 ， 网 络 设备 能 否 
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正常 运行 ， 完 全 由 它 来 决定 。 目 前 网 络 厂商 比较 繁杂 ,每 个 厂商 的 设备 型 号 也 比较 多 ， 但 无 论 是 哪 
一 款 设备 ， 都 存在 有 不 同 程度 的 系统 漏洞 ， 尤 其 一 些小 厂商 的 设备 ， 漏 洞 更 是 五 花 八 门 。 
一 般 因 网 络 操作 系统 漏洞 导致 的 安全 威胁 主要 表现 为 以 下 儿 点 。 


(1) 系统 不 稳定 ， 负 载 能 力 弱 ， 易 出 现 系统 瘫痪 。 

(2) 数据 包 校 验 能 力 弱 ， 易 接收 大 量 非 法 、 畸 形 数 据 包 ， 从 而 导致 系统 服务 的 拒绝 访问 和 内 
容 泄 露 。 

(3) 系统 安全 漏洞 多 ， 设 备 容易 被 完全 控制 。 

3. 网 络 设备 出 厂 时 多 余 的 默认 服务 


几乎 所 有 设备 在 出 三 时 都 会 做 一 些 默 认 配置 ， 比 如 HITP、NTP、CDP 等 特定 的 网 络 服务 都 会 
被 开启 ， 而 这 些 服务 都 有 可 能 被 攻击 者 利用 ， 成 为 攻击 网 络 的 跳板 。 利 用 这 些 不 安全 的 服务 ， 攻 击 
者 可 以 对 设备 进行 远程 拒绝 服务 攻击 ， 或 者 借 此 获取 设备 基本 信息 、 完 全 控制 网 络 设备 。 


4. 网 络 设备 固件 存放 不 当 ， 被 攻击 者 物理 接触 


网 络 设备 一 旦 被 攻击 者 物理 接触 ， 就 有 可 能 被 攻击 破坏 。 这 主要 是 通过 非法 连接 串口 、 非 法 
恢复 默认 密码 、 非 法 关机 等 方法 实施 攻击 。 具 有 这 类 安全 隐患 的 设备 一 般 都 是 处 于 公共 场所 ， 且 加 
锁 保 护 措施 不 完善 。 


12.2 网 络 设备 安全 配置 


路 由 器 、 交 换 机 等 网 络 设备 涉及 的 网 络 安全 保障 技术 比较 多 。 从 现实 应 用 角度 出 发 ， 做 如 下 
详细 介绍 。 


12.2.1 硬件 安全 


网 络 设备 的 主要 作用 是 保证 网 络 环境 通畅 ， 并 按照 指定 策略 传输 信息 ， 是 信息 业务 应 用 中 重 
要 的 通信 节点 ， 一 旦 该 类 设备 物理 损坏 ， 会 造成 极 大 的 损失 。 

通常 网 络 设备 的 硬件 安全 要 从 以 下 几 个 方面 考虑 。 

首先 ， 网 络 设备 安装 配置 时 需要 保证 设备 的 安全 、 稳 定 运行 ， 这 就 需要 确保 工作 环境 具备 适 
宣 的 温度 和 湿度 ， 良 好 的 通风 效果 ， 同 时 还 要 具备 防火 、 防 盗 、 防 静电 、 防 电磁 干扰 等 条 件 。 一 般 
网 络 设备 都 会 放置 在 专业 的 服务 器 、 设 备 机 房 中 ， 如 图 12-1 所 示 。 机 房 内 有 可 调控 温度 的 设备 ， 
而 且 要 保证 无 侍 操作 ， 应 尽量 少 进 入 机 房 操作 设备 ， 大 型 的 机 房 在 进入 时 还 需要 穿戴 防 尘 
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图 12-1 
其 次 ， 并 不 是 所 有 设备 都 存放 在 机 房 ， 很 多 网 络 设备 会 安放 在 建筑 的 不 同位 置 。 比 如 在 网 吧 、 
小 区 的 墙壁 上 经 常会 看 到 存放 设备 的 机 柜 , 在 街道 上 也 有 很 多 的 运营 商 设 备 。 这 些 存放 于 公共 场所 
的 设备 自 带 的 Console〈 控 制 ) 口 ， 如 果 管 理 不 善 ， 很 容易 被 不 法 分 子 利用 ， 以 此 进入 设备 、 控 制 
网 络 。 所 以 这 类 设备 一 般 要 保证 有 加 锁 机 柜 ， 安放 高 度 合适 ， 有 条 件 的 还 要 在 重要 设备 附近 安置 监 
控 设备 ， 如 图 12-2 所 示 。 


图 12-2 


12.2.2 口令 安全 


网 络 设备 的 配置 接 入 方法 有 很 多 种 ,Console 口 配置 .AUX 口 拨 号 连接 、Telnet 远 程控 制 .HTML 
网 页 配置 。 无 论 是 哪 一 种 方法 ， 都 有 很 大 的 权限 修改 设备 的 配置 信息 ， 如 果 随 意 的 被 连接 会 对 网 络 
正常 使 用 造成 很 大 的 威胁 , 所 以 这 些 配置 接 入 方法 一 般 都 需要 配置 访问 口令 。 下面 针对 网 络 设备 的 
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口令 安全 作 详 细 的 介绍 。 
1. 默认 口令 隐患 多 


大 部 分 的 网 络 设备 在 出 厂 时 都 有 默认 用 户 名 和 口令 ， 比 较 常见 的 有 “admin”“guest”。 利 用 
这 些 默认 的 口令 ， 只 要 攻击 者 接 入 网 络 ， 就 可 以 登录 该 网 络 的 设备 进行 操作 。 

而 在 现实 环境 中 ， 很 多 网 络 管理 员 出 于 方便 记忆 和 对 网 络 安全 性 过 于 信赖 等 因素 ， 一 直 使 用 
默认 用 户 名 和 密码 ， 这 和 不 做 密码 保护 几乎 没什么 区 别 。 

2. 安全 口令 的 配置 管理 规范 


网 络 设备 提供 了 多 机 口令 ， 包 括 : 常规 模式 口令 、 特 权 模 式 口令 、 配 置 模式 口令 、Console 控 
制 口 连接 口令 、Telnet 连接 口令 、SSH 连接 口令 等 。 在 复杂 的 网 络 环境 中 ， 每 一 个 口令 都 是 一 个 安 
全 屏障 ， 所 以 在 配置 设备 时 尽量 要 配置 所 有 的 口令 ， 同 时 各 个 口令 的 密码 要 有 区 分 ， 以 确保 每 一 个 
口令 都 是 有 意义 的 。 除 此 之 外 ， 不 同 的 设备 口令 配置 也 不 能 相同 。 

在 进行 口令 配置 时 ， 口 令 应 具备 以 下 特征 。 


(1) 口令 应 具备 复杂 性 ， 最 好 由 数字 、 字 母 、 符 号 三 种 字符 组 成 。 

(2) 口令 长 度 不 宜 过 短 ，6~8 位 以 上 安全 性 较 高 ， 不 易 破 解 。 

(3) 口令 不 建议 使 用 生日 、 人 名 、 公 司 信息 等 具有 特殊 意义 的 字符 串 。 

日 常 管理 中 ， 可 以 制作 一 套 口令 表 ， 方 便 查 看 和 记忆 。 但 在 使 用 时 ， 口 令 可 能 随时 被 泄露 ， 
所 以 需要 管理 员 定期 更 新 一 些 口令 ， 并 且 在 获悉 口令 泄露 后 及 时 的 更 改口 令 。 


3. 特权 模式 的 口令 配置 


使 用 任何 一 种 设备 配置 接 入 方式 ， 都 需要 从 用 户 模式 进入 到 特权 模式 。 如 果 只 设置 了 Telnet 
远程 登录 密码 ,没有 配置 特权 模式 密码 ， 就 只 能 进入 到 用 户 模式 ， 所 以 想 要 通过 远程 连接 正常 配置 
设备 , 必须 要 配置 特权 模式 密码 。 下 面 以 Cisco 路 由 器 为 例 详细 介绍 一 下 特权 模式 口令 的 配置 方法 。 

Router>enable 

// 进 入 特权 模式 

Router#configure terminal 

// 进 入 全 局 配置 模式 

Router(config)#enable password cisco 

/配置 特权 模式 明文 口令 "cisco” 

Router(config)#enable secret cisco 

// 配 置 特权 模式 密 文 口令 “cisco” 

Router#show running-config 

enable secret 5 $1$mERr$hxSrVt7rPNoS4wqbXKX7m0 

enable password cisco 


/查看 配置 信息 , “secret" 后 的 “5" 表 示 使 用 的 是 MD5 加 密 认证 
4. Telnet 远程 登录 口令 配置 


远程 Telnet 登录 设备 时 ， 使 用 的 是 设备 的 VTY 口 。 网 络 设备 默认 有 五 个 端口 供 远程 终端 客户 
机 连接 ， 也 就 是 0~4 五 个 虚拟 接口 ， 在 进行 配置 时 要 同时 对 五 个 虚拟 接口 配置 登录 口令 。 具 体操 
作 步 又 如 下 。 
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Router(config)#line vty 0 4 
// 进 入 虚拟 接口 0~4 的 配置 子 模式 
Router(config-linej#login 
% Login disabled on line 66, until 'password' is set 
% Login disabled on line 67, until 'password' is set 
% Login disabled on line 68, until 'p 
assword' is set 
% Login disabled on line 69, until ‘password' is set 
% Login disabled on line 70, until ‘password' is set 
/开启 登录 功能 ， 开 启 后 提示 人 允许 给 五 个 虚拟 接口 配置 密码 
Router(config-linej#password cisco 
/配置 VTY 口令 "cisco” 
Router#show running-config 
line vty 04 

password cisco 

login 
// 查 看 配置 信息 


5. Console 控制 口 安全 配置 


使 用 配置 线 直接 连接 设备 配置 时 ， 使 用 的 是 串口 及 Console 控制 口 。 下 面 详细 介绍 Console 控 
制 口 口 令 的 配置 步骤 。 


Router(config)#line console 0 
/进入 Console 口 的 配置 子 模式 
Router(config-linej#login 
% Login disabled on line 0, until 'password' is set 
/开启 登录 功能 ， 开 启 后 提示 允许 给 Console 控制 口 配置 密码 
Router(config-linej#password cisco 
/配置 Console 控制 口 口 令 "cisco” 
Router#show running-config 
line con 0 

password cisco 

login 


// 查 看 配置 信息 
6. 为 所 有 口令 加 密 


大 部 分 口令 默认 明文 显示 ， 这 样 很 不 安全 ， 所 以 在 配置 完 所 有 口令 后 ， 需 要 对 设备 口令 进行 
统一 加 密 ， 操 作 命令 如 下 。 


Router(config)#service password-encryption 
加 密 后 ， 查 看 配置 信息 。 
Router#show running-config 
service password-encryption 
| 
enable secret 5 $1$mERr$hx5rVt7rPNoS4wqbXKX7m0 
enable password 7 0822455DOA16 
! 
line con 0 
password 7 0822455DOA16 
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login 

line vty 04 
password 7 0822455DOA16 
login 


12.2.3 ”基于 MAC+IP+VLAN+ 端 口 的 绑 定 


在 网 络 环境 中 经 常会 出 现 地 址 冲突 、 地 址 欺骗 的 现象 。 某 些 终端 客户 机 因 手 工 配置 或 感染 木 
马 等 原因 , 使 自己 的 地 址 信息 和 服务 器 或 其 他 主机 地 址 信息 发 生 冲突 , 进而 影响 到 整个 网 络 的 正常 
使 用 ， 比 如 常见 的 ARP 地 址 欺骗 。 

普通 主机 之 间 发 生 冲 突 ， 可 能 影响 不 是 很 大 ， 主 机 提示 冲突 后 重新 配置 新 地 址 就 可 以 了 。 但 
是 有 些 服 务 器 或 网 络 设备 在 网 络 中 的 位 置 至 关 重 要 , 一 旦 出 现 地 址 冲突 , 会 对 网 络 业务 服务 造成 巨 
大 的 影响 ， 如 WEB 服务 器 、 设 备 管理 地 址 、 网 关 等 。 

下 面 主要 介绍 几 种 常用 的 地 址 绑 定 方法 。 

1. 基于 端口 的 MAC 地 址 绑 定 

可 以 规定 某 一 接口 允许 通过 的 MAC 地 址 来 实现 绑 定 。 下 面 以 Cisco 2950 交 换 机 为 例 进行 配置 。 

Switch>enable 

/进入 特权 模式 

Switchffconfigure terminal 

// 进 入 全 局 配置 模式 

Switch(config)#interface fastEthernet 0/1 

// 进 入 fastEthernet 0/1 端口 的 配置 子 模式 

Switch(config-ifY#switchport port-security 

Command rejected: FastEthernet0/] is a dynamic port 

/配置 开启 端口 安全 模式 

Switch(config-iD#switchport port-security mac-address 0001.AB3D.32EA 

/将 某 主机 的 MAC 地 址 “0001.AB3D.32EA" 绑 定 到 该 端口 ， 允 许 主机 通过 该 端口 访问 网 络 

Switch(config-iD#no switchport port-security mac-address 0001.AB3D.32EA 

/删除 绑 定 主机 的 MAC 地址 *0001.AB3D.32EA”。 

Switch(config-ip#fswitchport port-security maximum 30 

// 最 大 允许 验证 通过 的 MAC 地 址 数 ， 本 实例 设 为 "30” 


2. 基于 扩展 访问 控制 列表 的 MAC 地 址 绑 定 


平时 接触 的 访问 控制 列表 大 都 是 基于 IP 地 址 和 端口 的 ， 事 实 上 ， 基 于 MAC 地 址 也 是 可 以 实 
现 访问 控制 功能 ， 进 而 实现 MAC 地 址 绑 定 的 。 下 面 以 Cisco 3560 交换 机 为 例 进行 配置 。 


(1) 创建 访问 控制 列表 
Switch(config)#Mac access-list extended MAC 
/创建 一 个 MAC 地 址 访问 控制 列表 ， 并 命名 为 MAC 
Switch(config-ext-macl)#permit host 0001.AB3D.32EA any 
/定义 MAC 地 址 为 "0001.AB3D.32EA" 的 主机 可 以 访问 任意 主机 
Switch(config-ext-macl)#permit any host 0001.AB3D.32EA 
/定义 所 有 主机 可 以 访问 MAC 地 址 为 *0001.AB3D.32EA* 的 主机 
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默认 在 访问 控制 列表 最 后 有 一 条 “deny any any” 隐 藏 命令 ， 以 拒绝 其 他 所 有 MAC 
地 址 的 访问 请 求 。 
提 示 
(2) 应 用 访问 控制 列表 
Switch(config)#interface fastEthernet 0/1 
// 进 入 fastEthernet 0/1 端口 配置 子 模式 
Switch(config-if)j#mac access-group MAC in 
/在 fastEthernet 0/1 端口 应 用 访问 控制 列表 “MAC”。 
(3 ) 删除 访问 控制 列表 
Switch(config)#no mac access-list extended MAC 


3. 基于 IP 地 址 和 MAC 地 址 的 绑 定 


在 很 多 网 络 环境 下 ， 卫 地 址 是 不 可 以 随意 更 改 使 用 的 ， 变 更 卫 地 址 很 容易 造成 地 址 被 盗用 或 
冲突 。 比 如 某 一 IP 地 址 在 网 络 中 具有 访问 其 他 资源 的 特权 ， 一 旦 被 不 法 分 子 在 其 他 主机 盗用 就 麻 
烦 了 。 

如 果 只 使 用 前 两 种 方式 ， 就 只 能 限制 允许 通过 的 MAC 地 址 ， 但 是 达 不 到 MAC 和 IP 地 址 绑 
定 的 功能 。 必 须 想 办 法 让 卫 地 址 和 MAC 地 址 一 一 对 应 起 来 。 下 面 介 绍 详细 配置 方法 。 

使 用 ARP 命令 绑 定 卫 和 MAC 对 应 关系 ， 将 IP 地 址 “192.168.100.100" 和 MAC 地 址 
“0001.AB3D.32EA” 绑 定 在 一 起 。 

Router(config)#arp 192.168.100.100 0001.AB3D.32EA ARPA 

4. 基于 IP 地 址 和 交换 机 端口 的 绑 定 


可 以 将 全 地 址 与 交换 机 端口 也 绑 定 在 一 起 , 这 样 一 来 该 端口 就 只 能 由 对 应 的 IP 地 址 使 用 , 使 
用 其 他 了 地 址 连接 会 立刻 断 网 ， 有 效 的 防止 了 乱 改 IP 的 行为 。 下 面 介绍 详细 配置 方法 。 

Router(config)#access-list 1 permit 192.168.100.100 

/定义 一 条 允许 IP 地 址 “192.168.100.100"* 通 过 的 访问 控制 列表 ， 编 号 为 1。 

Router(config)#interface fastethernetO/1 

/进入 需要 实施 绑 定 的 端口 "fastethernet0/l" 的 配置 子 模式 。 

Router(config-i#ip access-group 1 in 

/在 端口 配置 子 模式 下 应 用 访问 控制 列表 1 。 

配置 后 在 fastethemet0/1 端口 只 允许 IP 地 址 192.168.100.100 的 主机 连接 网 络 。 


12.2.4 过滤 安全 端口 


在 网 络 中 有 很 多 具有 安全 隐患 ， 可 以 被 攻击 者 用 于 实现 网 络 攻击 的 端口 , 比如 113、135、137、 
138、139、445、593、1023、1029、1434、2745、3127、6129、5554、4168 等 。 这 些 端 口 种 类 繁 
多 ， 有 系统 服务 端口 、 软 件 漏洞 端口 、 病 毒 木 马 后 门 端口 ， 无 论 哪 一 个 端口 被 利用 ， 都 有 可 能 造成 
网 络 设备 或 服务 器 被 完全 控制 ， 所 以 在 实现 网 络 安全 配置 时 ， 一 定 要 想 办 法 将 这 些 端 口 屏蔽 掉 。 

虽然 大 多 数 服务 器 都 有 防护 网 络 攻击 、 过 滤 安 全 端口 的 配置 ， 但 为 了 更 好 的 保证 整个 网 络 环 
境 的 安全 , 这 些 不 安全 端口 访问 到 网 络 设备 时 就 应 该 被 过 滤 掉 。 这 主要 依靠 ACL 访问 控制 来 实现 
下 面 介 绍 详细 配置 方法 。 
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提 示 


(1) 创建 扩展 访问 控制 列表 100 
Router(config)#access-list 100 deny tcp any eq 113 any 
Router(config)#faccess-list 100 deny tcp any eq 135 any 
Router(config)#faccess-list 100 deny udp any eq 135 any 
Router(config)#faccess-list 100 deny tcp any eq 137 any 
Router(config)#faccess-list 100 deny udp any eq 137 any 
Router(config)#faccess-list 100 deny tcp any eq 138 any 
Router(config)#access-list 100 deny udp any eq 138 any 
Router(config)#access-list 100 deny tcp any eq 139 any 
Router(config)#access-list 100 deny udp any eq 139 any 
Router(config)#faccess-list 100 deny tcp any eq 161 any 
Router(config)ffaccess-list 100 deny udp any eq 161 any 
Router(config)#access-list 100 deny tcp any eq 445 any 
Router(config)#access-list 100 deny udp any eq 445 any 
Router(config)#access-list 100 deny tcp any eq 593 any 
Router(config)#access-list 100 deny tcp any eq 1024 any 
Router(config)ftaccess-list 100 deny tcp any eq 2745 any 
Router(config)#access-list 100 deny tcp any eq 3127 any 
Router(config)ffaccess-list 100 deny tcp any eq 3389 any 
Router(config)#access-list 100 deny udp any eq 3389 any 
Router(config)#access-list 100 deny tcp any eq 6129 any 


0, 


写 出 。 


(2) 在 设备 入 口 方向 应 用 访问 控制 列表 
Router(config)#interface fastethernetO/1 
Router(config-if)#ip access-group 1 in 


由 于 安全 端口 比较 多 ， 本 实例 不 再 一 一 配置 。 在 配置 时 还 应 注意 ， 在 过 滤 端 口 时 要 明 
确 指定 其 属于 TCP 端口 还 是 UDP 端口 , 像 113 端口 就 是 TCP 端口 , 而 135 端口 婚 有 
TCP 端口 又 有 UDP 端口 。 虽 然 同 是 135 端口 ， 但 是 TCP 和 UDP 完全 不 同 ， 要 分 别 


【分 在 流量 进入 设备 之 前 就 应 该 过 滤 掉 ， 这 样 可 以 过 免 设备 处 理 这 部 分 流量 的 消耗 . 


提 示 


12.2.5 ”正确 配置 认证 协议 


网 络 设备 连接 时 ， 会 用 到 很 多 协议 ， 为 了 保证 安全 ， 有 不 少 协议 都 允许 实施 认证 ， 比 如 广 
域 网 协议 PPP 的 PAP 和 CHAP 认证 ， 路 由 协议 OSPF 的 认证 。 在 网 络 环境 比较 复杂 的 情况 下 ， 
尽量 要 配置 所 有 可 实施 认证 的 协议 ,并 且 选 择 认 证 强度 比较 高 的 技术 ， 比 如 选择 CHAP 认证 而 
不 选 PAP， 又 或 者 使 用 OSPF 协议 的 加 密 认 证 而 不 实用 明文 。 下 面 以 OSPF 路 由 协议 的 加 密 认 


证 为 例 进行 介绍 。 


假设 路 由 器 R1 和 R2 直 连 ， 并 运用 OSPF 路 由 协议 相互 学 习 路 


信息 。 为 了 保证 路 由 信息 不 


被 其 他 外 来 设备 学 习 到 ， 在 Rl 和 R2 之 间 做 区 域 的 MD5 认证 。 配 置 命令 如 下 。 
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Rl(config)#interface sl 

// 进 入 interface sl 端口 配置 子 模式 

Rl(config-if)#ip ospf message-digest-key 1 mds cisco 

/使 用 MD5 身份 验证 ， 定 义 认证 密 钥 ， 密 钥 字 符 串 为 “cisco” 
Rl(config)#router ospf 100 

// 配 置 OSPF 协议 ， 进 程 号 为 100 

Rl(config-router)#area 0 authentication message-digest 

// 指 定 身份 验证 

R2(config)#interface sl 

// 进 入 interface sl 端口 配置 子 模式 

R2(config-if)#ip ospf message-digest-key 1 mds cisco 

// 使 用 MDS5 身份 验证 ， 定 义 认证 密 钥 ， 密 钥 字 符 串 为 “cisco™ 
R2(config)#router ospf 100 

// 配 置 OSPF 协议 ， 进 程 号 为 100 

R2(config-router)#area 0 authentication message-digest 

// 指 定 身份 验证 


12.2.6 ”使 用 安全 的 SNMP 网 管 方案 


SNMP〔 简 单 网 络 管理 协议 ) 是 实施 网 络 管理 不 可 或 缺 的 技术 。 使 用 SNMP 协议 ， 网 咒 吕 理 
工作 站 可 以 轻松 的 获取 各 种 网 络 设备 的 详细 信息 。 但 是 SNMP 协议 的 实现 机 制 存 在 多 个 漏洞 ， 这 
些 漏 洞 可 以 允许 非法 越权 访问 、 拒绝 服务 攻击 、 导致 不 稳定 的 运行 状况 , 严重 危害 互联 网 基础 安全 。 

目前 SNMP 的 版 本 主要 是 SNMPv1、SNMPv2 和 SNMPv3。 虽 然 从 安全 鉴别 机 制 来 分 析 ， 
SNMPv1 和 v2 两 个 版 本 较 弱 ,而 SNMPv3 由 于 采用 了 新 的 SNMP 扩展 框架 ,安全 性 和 管理 上 有 很 
大 的 提高 。 但 因为 SNMPv3 出 现 较 晚 ， 很 多 正在 使 用 的 旧 设 备 不 支持 该 版 本 ， 且 大 多 数 厂商 普遍 
玉生 SNMPv1 和 v2 两 个 版 本 。 这 就 导致 了 网 络 中 依然 大 量 存在 SNMP 安全 隐患 。 从 现实 情 
况 来 看 ， 管 理 员 能 做 的 只 是 让 SNMPv1 和 v2 版 本 的 使 用 更 安全 一 些 。 

导入 安生 大 及 妆 骨 显 的 是 “community string”。 在 许多 网 络 设备 和 操作 系统 的 SNMP 协议 实现 
中 往往 存在 能 进行 SNMP 写 操作 的 默认 “community string”， 比 如 “public”。 远 程 攻 击 者 利用 这 些 
可 进行 写 操作 的 “community string ”能够 获取 服务 器 完全 控制 权限 、 修 改 路 由 器 配置 、 重 启 或 关 
闭 设备 。 

解决 SNMP 的 具体 操作 方法 ， 详 细 介 绍 如 下 。 

1. 过 滤 边 界 SNMP 访问 

攻击 者 通常 处 于 外 部 网 络 ， 通 过 向 边界 设备 发 送 SNMP 请 求 信息 ， 以 查找 漏洞 实现 攻击 。 而 
SNMP 协议 只 要 在 内 部 网 络 正常 运行 即 可 满足 管理 的 需要 。 所 以 , 可 以 在 边界 设备 外 侧 端口 过 滤 所 
有 的 SNMP 信息 ， 以 避免 信息 外 泄 和 网 络 攻击 。 

SNMP 主要 使 用 161 和 162 两 个 UDP 端口 ， 需 要 配置 ACL 访问 控制 列表 对 应 这 两 个 端口 的 
流量 ， 具 体 配置 命令 如 下 。 


创建 访问 控制 列表 100， 拒 绝 所 有 主机 的 161 和 162 端口 信息 。 


Router(config)#access-list 100 deny udp any eq 161 any 
Router(config)#access-list 100 deny udp any eq 162 any 
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W023 假设 fastEthernet 0/1 口 为 边界 设备 外 网 接口 ， 应 用 访问 控制 列表 100。 


Router(config)#interface fastEthernet 0/1 
Router(config-if)#ip access-group 100 in 
Router(config-if)#ip access-group 100 in 


2. 修改 默认 的 “community string” 


很 多 支持 SNMP 服务 的 产品 的 出 厂 设 置 中 , 默认 的 community-string 值 是 “public”( 只 读 访 问 ) 
和 “private”( 读 / 写 访问 )。 攻 击 者 往往 会 使 用 这 两 个 community-string 扫描 网 络 ， 实 现 网 络 攻 击 。 
所 以 在 配置 设备 时 ， 这 两 个 默认 口令 一 定 要 改 掉 。 修 改 community-string 的 配置 命令 如 下 。 


Router(config)#snmp-server community cisco rw 


/将 community-string 值 改 为 “cisco”， 权 限 为 “ 读 写 ” 
3. 过 滤 网 络 中 不 正常 的 SNMP 访问 


在 网 络 系统 中 实施 网 络 管理 时 ， 只 有 个 别 的 网 络 管理 系统 需要 发 生 SNMP 请 求 。 所 以 ， 网 络 
管理 系统 中 的 SNMP 代理 〈 被 管 客户 机 ) 可 以 设置 仅 接 受 管理 服务 器 发 送 的 SNMP 请 求 。 这 样 可 
以 降低 内 部 攻击 风险 。 

假设 主机 192.168.100.100 为 网 络 管理 服务 器 ， 以 Cisco 路 由 器 为 例 ， 在 所 有 网 络 设备 上 需要 
做 如 下 配置 。 

Router(config)#ip access-list standard snmp-server 

/创建 命名 的 访问 控制 列表 “snmp-server” 

Router(config-std-nacl)#permit 192.168.100.100 

// 编 辑 访问 控制 列表 ， 人 允许 192.168.100.100 主机 访问 

Router(config-std-nacl)#exit 

/返回 全 局 配置 模式 

Router(config)#snmp-server community public rw snmp-server 

/配置 SNMP 协 议 ,community string 为 “public”, 权限 为 “ 读 写 ”, 该 SNMP 协议 配置 对 访问 控制 列表 “snmp-server” 
生效 

在 配置 网 络 设备 的 SNMP Trap 配置 时 ， 也 可 以 指定 Trap 信息 的 接收 者 ， 配 置 命令 如 下 。 

Router(config)#snmp-server host 192.168.100.100 traps trap 

/SNMP Trap 的 接收 者 为 "192.168.100.100"， 认 证 字符 串 为 “trap” 


(7 如 果 网 络 管理 允许 ， 可 以 将 设备 的 SNMP 协议 关闭 。 


提 示 
12.2.7 防止 SYN 攻击 


首先 来 认识 一 下 什么 是 SYN 攻击 , 这 种 攻击 主要 是 利用 TCP 的 三 次 握手 机 制 来 实现 的 , 攻击 
端 伪造 大 量 的 IP 地 址 向 被 攻击 端 发 出 SYN 包 ， 建 立 TCP 同步 连接 。 出 于 三 次 握手 机 制 的 正常 反 
应 ， 被 攻击 端 会 返回 大 量 的 SYN+ACK 包 ， 这 些 返回 的 确认 包 根 本 就 不 可 能 发 送 到 正确 的 目的 地 ， 
在 被 攻击 端 等 待 连接 超时 关闭 的 过 程 中 已 经 消耗 了 资源 。 这 些 消耗 掉 的 资源 超过 一 定 的 比例 , 就 会 
严重 影响 到 正常 服务 的 应 用 。 至 此 已 经 形成 了 SYN 攻击 ， 达 到 了 攻击 目的 。 

由 此 看 来 , 只 要 能 够 拦截 异常 的 TCP 连接 就 可 以 防止 SYN 攻击 了 。 为 此 大 多 数 的 路 由 器 都 植 
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入 了 TCP 拦截 (TCP intercept) 功能 ， 用 于 防止 SYN 泛 洪 攻 击 。 在 TCP 连接 请 求 到 达 目 标 主 机 之 
前 ，TCP 拦截 通过 对 其 进行 拦截 和 验证 来 阻止 这 种 攻击 。 

下 面 以 Cisco 路 由 器 为 例 ， 详 细 介绍 TCP 拦截 功能 的 配置 。 

1. 设置 TCP 拦截 的 工作 模式 


TCP 拦截 主要 有 两 种 工作 模式 : 拦截 和 监视 。 

拦截 模式 (intercept mode): 在 拦截 模式 下 ， 路 由 器 会 拦截 所 有 的 TCP 同步 请 求 ， 并 分 别 以 服 
务 器 和 客户 机 身份 ,与 原来 的 客户 机 、 服 务 器 机 建立 连接 。 如 果 两 个 连接 都 成 功 地 实现 , 证 明 TCP 
同步 连接 请 求 是 合法 的 ， 路 由 器 会 将 两 个 连接 进行 透明 的 合并 。 在 此 过 程 中 ,路 由 器 利用 更 为 严格 
的 超时 限制 ， 以 防止 其 自身 的 资源 被 SYN 攻击 耗 尽 。 

监视 模式 (watch mode): 在 监视 模式 下 ， 路 由 器 会 统计 已 返回 SYN+ACK 包 ， 等 待 客户 端 确 
认 超 时 的 连接 数量 。 如果 在 规定 的 时 间 内 超过 了 指定 的 连接 数 ， 路 由 器 可 以 执行 关闭 连接 ,同时 还 
可 以 使 用 ACL 访问 控制 列表 定义 要 进行 TCP 拦截 的 源 和 目的 地 址 。 

虽然 两 种 模式 都 可 以 实现 防止 SYN 攻击 ， 但 是 使 用 拦截 模式 会 让 路 由 器 处 理 大 量 的 请 求 包 ， 
加 重 了 设备 负担 ， 会 影响 到 整个 网 络 的 性 能 。 所 以 通常 建议 选择 监视 模式 。TCP 拦截 监视 模式 开 
启 的 配置 命令 如 下 。 

设置 路 由 器 工作 模式 ， 默 认为 “intercept” 拦 截 模式 ， 本 实例 选择 “watch” 监 视 模式 。 

Router(config)#ip tcp intercept mode (intercept/watch) 

2. 监视 模式 参数 配置 


使 用 监视 模式 ， 如 何 判 断 设备 是 否 遭 受 攻击 呢 ? 这 主要 依靠 一 些 特定 阐 值 来 判断 。 这 些 阔 值 
主要 是 half-open 连接 在 执行 不 同 操作 的 连接 数 ， 在 介绍 这 些 阔 值 之 前 ， 先 来 了 解 一 下 监视 模式 的 
工作 方式 。 

(1) 当 路 由 器 检测 到 的 halfopen 连接 数 超过 阐 值 , 确认 正 遭 受 攻击 时 ， 路 由 器 开始 删除 之 前 
的 连接 ， 默 认 是 最 早 的 half-open 连接 (可 以 使 用 “ip tcp intercept drop-mode random”* 命 令 ， 随 机 关 
闭 半 开 连接 )。 

(2) 初始 的 重 传 超时 时 间 被 减少 一 半 ， 直 到 0.5 秒 。 如 果 处 于 监视 模式 ， 则 超时 时 间 减 半 ， 
直到 15 秒 。 


在 监视 模式 下 ， 有 两 个 值 用 于 判断 是 否 遭 受 攻击 ， 并 开始 删除 half-open 连接 。 


Router(config)#ip tcp intercept max-incomplete high number 1100 

// 设 置 路 由 器 开始 删除 连接 之 前 ， 能 够 存在 的 half-open 连接 的 最 大 数 

Router(config)#ip tcp intercept one-minute high number 1100 

/设置 路 由 器 开始 删除 连接 之 前 ， 每 分 钟 内 能 存在 的 最 大 half-open 连接 数 

当 half-open 连接 数 降低 至 一 定 程度 时 ， 路 由 器 认为 攻击 已 经 减弱 或 者 不 存在 ， 停 止 删除 half-open 连接 。 
Router(config)#ip tcp inercept max-incomplete low number 900 

/设置 路 由 器 停止 删除 half-open 连接 之 前 ， 能 够 存在 的 最 大 halfopen 连接 数 

Router(config)#ip tcp intercept one-minute low number 900 

/设置 路 由 器 停止 删除 连接 之 前 ， 每 分 钟 内 能 存在 的 最 小 half-open 连接 数 
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half-open 连接 总 数 与 每 分 钟 halfopen 连接 的 数量 只 要 有 任何 一 项 达到 最 大 值 ，TCP 
拦截 就 会 被 激活 ， 并 开始 删除 halfopen 连接 。 在 TCP 拦截 过 程 中 ， 只 有 两 个 值 都 降 
提 示 ” 低 到 指定 的 最 低 值 ， 才 会 停止 删除 half-open 连接 。 


3. 设置 访问 控制 列表 ， 指 定 需 要 保护 的 主机 

执行 TCP 拦截 时 ， 可 以 监控 指向 特定 服务 器 的 请 求 ， 这 就 需要 配置 一 条 访问 控制 列表 来 指定 
这 些 服务 器 。 配 置 命令 如 下 。 

Router(config)ffaccess-list 101 permit tcp any host 192.168.100.100 

凡 192.168.100.100" 为 受 保护 的 目标 服务 器 

4. 开启 TCP 拦截 

前 面 已 经 配置 了 监控 模式 及 其 参数 ， 下 面 配置 启用 TCP 拦截 。 配 置 命令 如 下 。 

Router(config)#ip tcp intercept list 101 

/101" 是 前 面 配置 的 指定 受 保护 服务 器 的 ACL 访问 控制 列表 
12.2.8 关闭 CDP 服务 


思科 发 现 协 议 (CDP) 是 工作 在 数据 链 路 层 上 的 协议 ， 主 要 用 来 获取 相 邻 设备 的 地 址 配置 及 
平台 信息 。CDP 协议 与 设备 介质 无 关 ， 默 认 运 行 在 所 有 的 思科 产品 上 。 在 故障 排 错 、 性 能 优化 等 
方面 有 着 不 可 替代 的 作用 。 但 是 ，CDP 协议 本 身 存在 有 巨大 的 安全 问题 。 

CDP 协议 在 工作 时 ， 会 向 所 有 支持 CDP 协议 的 接口 上 周期 性 的 发 送 设备 基本 信息 ， 邻 接 设 备 
间 可 以 彼此 学 习 所 发 送 的 信息 , 同时 管理 员 也 可 以 通过 接收 分 析 这 些 信息 , 实施 网 络 排 错 和 性 能 优 
化 。 但 是 这 些 信息 同样 可 以 被 攻击 者 使 用 嗅 探 工具 获取 并 利用 。 如 果 网 络 连 接 的 是 单一 网 络 ， 所 有 
设备 都 连接 在 同一 个 局 域 网 中 还 比较 安全 ,相反 ,如 果 网 络 连接 到 多 个 组 织 机 构 时 ， 这 个 安全 隐患 
就 比较 突出 了 。 

CDP 协议 毕竟 有 存在 的 优势 ， 不 应 单一 的 为 了 安全 就 将 其 彻底 关 掉 。 作 为 网 络 管理 员 ， 应 当 
做 到 安全 和 功能 并 重 ， 既 能 够 享受 CDP 协议 所 带 来 的 优势 ， 而 又 不 被 其 安全 问题 所 困扰 。 一 般 攻 
击 者 都 处 于 外 部 网 络 ， 只 要 限制 CDP 协议 信息 从 边缘 设备 发 送出 去 ， 就 可 以 避免 其 带 来 的 大 部 分 
威胁 ， 而 内 部 网 络 攻击 源 很 少 ， 可 以 较 放心 的 使 用 CDP 协议 。 从 分 析 中 可 以 得 出 如 下 配置 。 

在 所 有 边缘 路 由 器 连接 外 网 的 接口 上 禁用 CDP 服务 。 

Router(config)#interface SO/1 

// 进 入 边界 路 由 器 外 网 接口 s0/1 的 配置 子 模式 


Router(config-if)#no cdp enable 
// 关 闭 该 端口 的 CDP 服务 


@! 为 了 安全 起 见 ， 也 可 以 在 全 局 配置 模式 下 关闭 CDP 服务 。 
提 示 
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Router(configJ)fno cdp enable 

在 内 部 网 络 设备 上 ， 可 以 根据 需求 开启 CDP 服务 。 但 是 需要 考虑 开启 的 方式 ， 是 全 局 开启 ， 
还 是 指定 端口 开启 。 不 必要 的 CDP 流量 越 少 越 安全 ， 所 以 建议 针对 端口 ， 开 启 足 够 进行 故障 排 错 
和 性 能 优化 使 用 的 CDP 服务 即 可 。 


12.2.9 关闭 其 他 具有 安全 隐患 的 服务 


在 路 由 器 、 交 换 机 生产 出 厂 的 时 候 ， 往 往 有 一 些 不 常用 或 者 有 可 能 产生 安全 隐患 的 服务 被 默 
认 配 置 。 为 了 保证 设备 安全 ， 需 要 将 这 些 服务 关闭 。 下 面 详细 介绍 各 种 需要 关闭 的 服务 。 


1. 关闭 BOOTP 服务 器 


BOOTP ( 自 举 协议 ) 是 一 个 基于 UDP 协议 的 协议 。 该 协议 主要 应 用 于 有 无 盘 工 作 站 的 局 域 网 
中 ， 它 可 以 让 无 盘 站 从 中 心服 务 器 上 获得 卫 地 址 。 和 DHCP 协议 功能 有 些 相似 ，BOOTP 为 局 域 
网 中 的 无 盘 工 作 站 分 配 动态 卫 地 址 。 在 网 络 设备 上 ， 使 用 BOOTP 协议 还 可 以 实现 设备 IOS 镜像 
的 拷贝 。 

如 果 网 络 设备 的 BOOTP 服务 开启 , 很 有 可 能 使 攻击 者 利用 BOOTP 服务 下 载 到 设备 的 配置 文 
件 ， 所 以 使 用 设备 时 ， 需 要 首先 检查 BOOTP 服务 有 和 否 开启 ， 如 果 开 启 要 马上 关闭 。 关 闭 BOOTP 
服务 的 命令 配置 如 下 。 


Router(config)#no ip bootp server * 
/W*” 代 表 匹 配 所 有 地 址 


2. 关闭 DNS 服务 


默认 情况 下 ，Cisco 路 由 器 DNS 服务 是 被 开启 的 。 路 由 器 会 以 255.255.255.255 为 广播 地 址 发 
送 查 询 信息 。 使 用 这 个 全 网 广播 地 址 ,任何 主机 都 可 以 接受 到 查询 信息 。 作 为 攻击 者 可 能 会 借 机 伪 
装 成 一 个 DNS 服务 器 ,在 真正 的 DNS 服务 器 做 出 反应 前 ,发 送 一 个 伪造 的 回复 。 通常 情况 下 ， 路 
由 器 接收 到 多 个 回复 时 ， 只 会 应 用 第 一 个 回复 ， 后 面 的 都 会 被 丢弃 。 

本 身 DNS 服务 没有 强 有 力 的 安全 机 制 , 一 旦 被 攻击 者 伪装 欺骗 , 整个 网 络 都 有 可 能 遭受 攻击 。 
所 以 在 允许 的 情况 下 尽量 关闭 DNS 服务 。 关 闭 DNS 服务 的 命令 配置 如 下 。 

Router(config)#no ip domain-lookup 


关闭 DNS 服务 之 后 ， 虽 然 解决 了 安全 威胁 ， 但 是 依然 还 有 一 些 DNS 请 求 需 要 被 执行 ， 此 时 
可 以 采用 配置 手动 解析 的 方法 解决 这 类 请 求 。 添 加 手动 解析 的 命令 配置 如 下 。 

Router(config)#ip host name addressl [address2-address8] 

name”" 为 需要 解析 的 名 字 ， 后 面 可 最 多 写 8 个 对 应 解析 的 IP 地 址 

除 此 之 外 ， 也 可 以 在 不 关闭 DNS 服务 的 情况 下 解决 安全 问题 ， 即 手动 配置 具体 的 DNS 服务 
器 地 址 ， 命 令 配 置 如 下 。 


Router(config)#ip name-server 192.168.100.100 
// 指 定 默 认 使 用 的 DNS 服务 器 是 192.168.100.100 主机 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


3. 关闭 HTTP 服务 


路 由 器 默认 开启 了 HTTP 服务 ， 由 于 访问 该 服务 不 需要 进行 加 密 认证 ， 所 以 网 络 管理 员 可 以 
很 方便 的 进行 连接 配置 。 同样 的 , 网络 攻 击 者 也 可 以 利用 这 个 方面 修改 路 由 器 的 HTTP 配置 ， 以 实 
现 攻 击 。 所 以 为 了 网 络 安 全 ， 配 置 路 由 器 时 ， 必 须 关 闭 HTTP 服务 。 详 细 命 令 配置 如 下 。 

Router(config)#no ip http server 

// 关 闭 HTTP 服务 


Router(config)# no ip http secure-server 
// 关 闭 HTTPS 服务 


C7 HTTPS 服务 是 加 入 SSL 认证 的 HTTP 协议 ， 需 要 一 并 关 掉 。 
提 示 
4. 关闭 ICMP 重 定向 


ICMP 重 定 向 可 以 将 终端 节点 的 he 操作 转向 特定 目标 节点 。 一 旦 攻击 者 使 用 Ping 命令 实施 
攻击 ， 路 由 器 的 ICMP 重 定 向 功能 很 可 能 将 该 攻击 Ping 发 至 特定 的 服务 器 ， 攻 击 者 会 从 中 获得 服 
务 器 的 运行 状态 ,并 进一步 实现 攻击 。 i 应 该 取消 远程 用 户 接受 Ping 命令 应 答 功能 ， 
禁用 ICMP 协议 ， 这 样 网 管 才能 更 好 地 防御 黑客 的 扫描 。 

Router(config)#inerface fastethernet0/1 

// 进 入 外 网 接口 fastethemet0/1 的 配置 子 模式 


Router(config-if)#no ip redirect 
// 禁 用 ICMP 重 定向 


5. 关闭 IP 源 路 由 选择 

IP 协议 支持 源 路 由 选择 ， 即 IP 报 文 可 以 被 限定 从 特定 的 路 由 到 达 目 标 地 址 。 这 主要 是 用 于 判 
断 网 络 的 连接 故障 ， 用 到 的 几率 比较 少 。 但 是 , 一 旦 使 用 了 该 功能 ， 设 备 就 会 给 攻击 者 留 下 一 个 可 
攻击 的 后 门 ， 所 以 需要 在 全 局 模式 下 禁用 该 服务 。 具 体 命 令 配 置 如 下 。 

Router(config)#no ip source-route 


12.2.10 ”启用 设备 日 志 记 录 


设备 日 志 主 要 用 于 记录 设备 运行 情况 及 事件 等 信息 。 通 过 查看 日 志 ， 网 络 管理 员 可 以 快速 找 
出 设备 故障 原因 ， 或 设备 运行 性 能 状况 等 ， 所 以 重要 的 网 络 设备 都 应 当 开启 日 志 功 能 。 

网 络 设备 自身 的 存储 空间 比较 有 限 ， 所 以 设备 日 志 一 般 需 要 配置 专门 日 志 服 务 器 进行 存放 。 
日 志 服 务 器 可 以 选择 Windows 系统 下 的 Kiwi Syslog 日 志 软 件 实现 , 也 可 以 使 用 Linux 系统 下 的 日 
志 服务 。 

使 用 Syslog 记录 Cisco 设备 日 志 ， 下 面 介绍 设备 日 志 服务 的 配置 方法 。 


1. 配置 设备 日 志 服务 


Router(config)#logging on 
// 开 启 设 备 的 日 志 服务 


网 络 设备 安全 配置 ”第 12 各 


Router(config)#logging 192.168.100.100 
Router(config)#logging to host 192.168.100.100 port 514 started 

/指定 日 志 服务 器 的 IP 地 址 为 *192.168.100.100” 

Router(config)#logging facility locall 

//facility 标识 ，RFC3164 规定 的 本 地 设备 标识 为 local0~local7， 用 于 和 日 志 服 务 器 的 配置 文件 做 匹配 


Router(config)#logging trap errors 
/日 志 记录 级 别 ， 也 可 用 0~7 表示 级 别 ， 级 别 越 高 表示 日 志 记录 信息 越 详细 ， 如 果 是 7 代表 所 有 日 志 都 做 记录 
日 志 级 别 主 要 有 8 种 ， 如 表 12-1 所 示 。 


表 12-1 
名 称 名 称 
紧急 (Emergencies) 警告 (Warnings) 
告警 (Alerts) | 通知 (Notifications) 
严重 的 (Critical) 信息 (Informational) 


[| [Eror) | | 调试 (Debugging) 


Router(config)#logging source-interface e0 
/日 志 发 出 用 的 源 IP 地 址 ， 可 以 用 端口 编号 也 可 以 用 IP 地址 


Router(config)#service timestamps log datetime localtime 
/日 志 记录 的 时 间 戳 设置 ， 可 根据 需要 具体 配置 检验 
Routerfshow logging 

/查看 日 志 记 录 配 置信 息 


2. 配置 日 志 服务 器 

Kiwi Syslog 日 志 软 件 可 以 通过 网 络 获得 ， 免 费 安装 ， 安 装 之 后 默认 可 以 使 用 ， 不 需要 做 过 多 
的 配置 ， 但 是 在 未 注册 时 ， 只 能 记录 一 个 设备 的 日 志 信息 ， 并 且 Kiwi Syslog 日 志 软件 应 用 于 
Windows 环境 下 ， 安 全 隐患 较 多 。 一 般 建议 选择 在 Linux 环境 下 搭建 日 志 服务 器 。 
在 Linux 环境 下 搭建 日 志 服务 器 的 配置 方法 如 下 。 
(1) 修改 远程 服务 器 配置 文件 


vi /etc/sysconfig/syslog 
将 “SYSLOGD_OPTIONS="-m 0"” 改 为 “SYSLOGD_OPTIONS="-r -m 0"”， 其 中 “-r” 代 表 
允许 从 远程 主机 写 入 。 
(2) 配置 本 地 日 志 主 配置 文件 
vi /etc/syslog.conf 
加 入 “locall.* /varlog/router.log” 行 ,“locall” 是 设备 标识 要 和 设备 日 志 配置 里 的 标示 匹配 ， 
“*» 匹配 所 有 日 志 级 别 ,，“/var/log/router.log” 为 存放 日 志 记 录 的 日 志文 件 。 
(3) 生成 空 的 日 志文 件 
touch /var/log/router.log 
(4) 重启 syslog 服务 


/etc/re.d/init.d/syslog restart 
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或 使 用 以 下 命令 : 


service syslog restart 


C7 日 志 服 务 使 用 的 默认 端口 为 UDP/514、TCP/146， 在 配置 访问 控制 策略 时 不 要 误 将 这 
些 流量 过 滤 掉 。 
提 示 

配置 网 络 设备 的 日 志 服 务 是 很 重要 的 ， 但 是 只 做 记录 而 不 去 查看 ， 那 么 日 志 服务 的 配置 就 没 
有 任何 意义 了 。 通常 网 络 管理 员 可 用 使 用 webadmin 工具 管理 和 查看 日 志 , 同时 还 可 以 使 用 logchek 
命令 将 有 问题 的 日 志 筛选 出 来 ， 以 做 分 析 。 


12.2.11 设置 广播 风暴 抑制 比 


在 网 络 中 存在 有 大 量 的 广播 数据 包 ， 这 些 数据 包 一 方面 是 网 络 正常 连接 所 必须 的 ， 但 另 一 方 
面 也 很 容易 被 病毒 或 网 络 攻击 所 利用 。 计 算 机 、 路 由 器 、 交 换 机 等 所 有 网 络 中 的 设备 ， 都 会 对 广播 
数据 包 进 行 相应 的 处 理 , 如 果 广 播 流量 过 大 , 这 些 设备 就 必须 提供 一 定 的 性 能 资源 浪费 在 处 理 这 些 
广播 数据 包 上 。 同 时 ， 广 播 数据 包 过 多 也 会 极 大 地 占用 网 络 带宽 资源 。 所以， 广播 流量 的 增 大 会 影 
响 整 个 网 络 的 性 能 及 应 用 。 所 以 在 网 络 环境 下 ， 需 要 对 广播 数据 包 进 行 合理 的 限制 。 

为 了 必要 广播 数据 包 的 通信 ， 一 般 不 会 完全 限制 广播 流量 。 使 用 比较 多 的 方法 有 缩小 广播 域 ， 
可 以 通过 增加 设备 或 VLAN 划分 的 方式 减 小 广播 域内 的 主机 数量 ， 但 是 这 种 方法 可 能 需要 增添 新 
设备 。 除 此 之 外 ， 还 可 以 通过 设 定 广播 抑制 比 的 方式 。 通过 命令 限制 指定 端口 上 允许 通过 的 广播 流 
量 , 当 广播 流量 过 多 超出 限定 范围 时 , 会 采取 丢弃 操作 , 这样 就 可 以 将 广播 流量 限制 在 可 控 的 范围 
内 ， 避 免 网 络 性 能 的 浪费 。 下 面 以 交换 机 为 例 介绍 广播 风暴 抑制 比 的 详细 配置 。 

1. 抑制 带宽 百分比 


可 以 通过 广播 流量 占用 整个 带宽 的 百分比 进行 限定 ， 当 达到 指定 的 百分比 时 ， 自 动 抑制 广播 
流量 ， 当 广播 流量 达到 下 限 值 时 取消 限制 , 不 过 下 限 值 一 般 采 用 默认 配置 。 默认 广播 风暴 抑制 比 配 
置 为 100%， 表 示 广 播 风暴 抑制 比 被 关闭 ， 人 允许 所 有 广播 流量 通过 ， 直 至 带宽 耗 尽 。 如 果 限 制 所 有 
广播 流量 通过 ， 可 以 将 值 设 为 0%。 

一 般 建 议 配置 10%~30%。 以 20% 为 例 ， 具 体 配 置 命令 如 下 。 

Switch#configure terminal 

// 进 入 全 局 配置 模式 

Switch(config)#interface fastEthermet 0/1 

// 进 入 fastEthemet 0/1 接口 的 配置 子 模式 


Switch(config-if)#storm-control broadcast level 20 
// 设 定 广播 流量 的 抑制 比 为 20%， 超 过 总 带宽 20% 的 流量 丢弃 


2. 抑制 单位 时 间 广 播 包 


也 可 以 通过 单位 时 间 内 统计 的 广播 数据 包 的 值 实现 广播 抑制 ， 一 般 会 设 定 两 个 值 ， 上 限 值 和 
下 限 值 。 当 达到 上 限时 ， 开 始 阻止 广播 包 转 发 ， 当 流量 低 于 下 限 值 时 ， 取 消 限制 。 
值 的 设 定 要 根据 网 络 环境 下 的 主机 数量 。 具 体 配 置 命令 如 下 。 
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Switch(config-if)#storm-control broadcast level pps 50 20 
/ 设 定 每 秒 允许 通过 的 广播 数据 包 上 限 为 50 个 ， 下 限 值 为 20 个 


12.2.12 ”关闭 路 由 器 广播 包 转 发 


一 般 路 由 器 会 隔离 广播 域 ， 阻 止 转发 广播 数据 包 ， 但 是 碍 于 应 用 需求 ， 还 有 一 些 网 络 设备 开 
启 了 路 由 器 的 广播 转发 功能 .因此 , 一 些 网 络 攻击 就 以 路 由 器 广播 转发 的 配置 为 跳板 实施 网 络 攻击 ， 
比如 SumrfDos 攻击 。 攻 击 实现 后 会 占用 网 络 资源 ， 甚 至 导致 网 络 设备 瘫痪 ， 所 以 要 在 路 由 器 的 每 
个 端口 上 关闭 路 由 器 的 广播 包 转发 功能 。 具 体 配置 命令 如 下 。 

Switch(config)#interface fastEthermet 0/1 

// 进 入 fastEthernet 0/1 接口 的 配置 子 模式 

Switch(config-if)# noipdirected-broadcast 

// 关 闭 广播 包 转发 功能 


12.3 ”专家 答疑 


(1) 使 用 其 他 品牌 的 网 络 设备 是 否 具 有 相同 的 安全 问题 ? 

答 : 本 章 列举 的 网 络 安全 问题 并 不 是 全 部 ， 只 是 比较 常见 的 安全 问题 ， 不 过 也 有 一 些 是 Cisco 
专 有 的 技术 ， 如 CDP (Cisco 发 现 协议 )， 很 多 设备 就 不 支持 。 网 络 厂商 比较 多 ， 不 同 的 厂商 设备 
差异 很 大 , 特别 是 生产 研发 体系 不 健全 的 厂商 , 产品 的 安全 漏洞 问题 可 能 更 多 。 所 以 无 论 是 哪 一 款 
设备 , 在 实施 网 络 安全 之 前 ,都 需要 先 对 设备 进行 一 个 深入 的 了 解 ， 也 可 和 通用 的 网 络 设备 安全 配 
置 做 比较 ， 判 断 其 是 否 具 有 该 安全 隐患 。 

(2) 如 果 某 台 设 备 的 系统 镜像 本 身 存 在 漏洞 怎么 办 ? 

答 : 设备 在 出 三 时 自 带 的 系统 镜像 可 能 会 存在 一 些 漏洞 ， 这 些 漏洞 有 时 不 是 更 改 服务 就 可 以 
修复 的 。 为 此 ， 各 厂商 也 会 对 自己 的 产品 做 检查 、 升 级 ， 而 且 升级 的 补丁 包 和 方法 都 会 对 外 发 布 ， 
用 户 可 以 结合 设备 的 情况 , 去 厂商 官网 查找 最 新 更 新 的 系统 镜像 或 者 补丁 。 不 同 设备 的 更 新 方法 不 
同 ， 可 以 在 其 官方 网 站 获得 。 

如 果 设 备 本 身 没 有 发 现 异常 ， 但 是 厂商 给 出 了 新 的 更 新 程序 ， 也 不 一 定 非 要 更 新 ， 用 户 一 定 
要 先 确 认 更 新 是 否 稳定 ， 且 没有 新 的 漏洞 。 这 些 信息 可 以 去 各 厂商 论坛 查询 。 


第 13 章 无 线 网 络 安全 管理 


随 着 网 络 的 发 展 ， 人 们 对 网 络 的 要 求 越 来 越 高 ， 需 要 随时 随地 的 访问 互联 网 ， 无 线 网 络 就 应 
运 而 生 了 。 无 线 网 络 是 利用 无 线 电波 来 作为 数据 传输 的 媒介 ， 就 应 用 层面 而 言 ， 与 有 线 网 络 的 用 途 
完全 相似 ， 最 大 的 不 同 是 传输 信息 的 媒介 不 同 。 


13.1 无 线 网 络 现状 


随 着 无 线 局 域 网 的 标准 日 趋 完善 ， 相 关 的 技术 和 产品 逐渐 在 市 场 上 推广 开 来 ， 近 年 来 无 线 网 
络 在 国内 外 逐渐 流行 。 目 前 ,无线 局 域 网 已 经 具有 一 定 的 速度 和 可 靠 性 , 可 以 提供 优质 的 无 线 移动 
服务 。 


13.1.1 便捷 的 应 用 


随 着 笔记 本 、 具 有 WIFI 功能 的 手机 、PDA〔 个 人 数字 助理 ) 等 无 线 客户 端的 流行 ， 无 线 网 络 
越 来 越 受 到 人 们 的 青睐 。 无 线 网 络 的 特征 是 以 一 个 固定 的 信息 点 为 基础 ， 形 成 一 个 网 络 覆 盖 面 。 对 
于 无 线 终端 用 户 来 说 ， 只 要 无 线 网 卡 能 搜索 到 无 线 信号 ， 就 可 以 随时 随地 的 访问 互联 网 ,无线 网 络 
带 来 的 便捷 性 不 言 而 喻 。 

1. 免 去 布线 的 麻烦 

传统 的 计算 机 使 用 网 线 连接 至 互联 网 ， 但 是 很 多 时 候 受 到 房间 等 各 种 原因 的 限制 ， 线 缆 不 能 
连接 ， 比 如 外 租房 ,大 部 分 房东 不 愿意 在 屋内 溺 洞 拉线 ， 这 时 候 上 网 就 成 了 问题 。 如 果 采 用 无 线 网 
络 , 只 需要 在 ISP 运营 商 接口 连接 一 根 线 缆 至 屋内 无 线路 由 器 上 , 无 线 客户 端 不 需要 线 缆 也 可 以 直 
接连 接 至 互联 网 。 

2. 减少 投资 

无 线 网 络 没 了 线 绕 的 连接 ， 就 减少 了 线 绕 和 施工 的 费用 ， 只 要 购买 性 能 良好 的 无 线 AP 即 可 ， 
可 以 节约 很 大 的 成 本 。 

3. 随时 随地 上 网 

随 着 无 线 校园 、 无 线 城市 的 兴起 ， 使 得 人 们 可 以 在 无 线 校园 、 无 线 城市 内 部 随时 随地 上 网 ， 
不 需要 受到 没有 网 线 的 限制 。 
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13.1.2 可怕 的 隐患 


无 线 网 络 技术 在 给 人 们 带 来 便捷 的 同时 ， 也 给 用 户 带 来 了 一 定 的 安全 风险 。 无 线 网 络 是 靠 无 
线 信号 传输 数据 ， 无 线 信号 在 被 无 线 AP 发 射出 去 之 后 ， 无 线 信号 的 传输 路 径 是 无 法 被 控制 的 ， 因 
此 , 无 线 信号 很 容易 被 陌生 的 接收 者 接收 到 ， 除 非 在 无 线 AP 处 设置 了 足够 安全 的 访问 者 及 无 线 客 
户 端 设 备 的 身份 验证 和 授权 机 制 ,否则 任何 具有 兼容 功能 的 无 线 客户 端 或 者 用 户 都 可 以 接受 该 网 络 
的 数据 。 


1. 追求 无 线 AP 覆盖 面 过 大 带 来 的 安全 隐患 

无 线 AP 都 有 一 定 的 发 射 功率 ， 发 射 功率 决定 了 无 线 网 络 的 覆盖 范围 ， 很 多 人 为 了 方便 ， 过 度 
追求 无 线 网 络 的 覆盖 范围 ， 就 购买 大 量 的 或 者 大 功率 的 无 线 AP， 这 样 只 会 让 更 多 的 无 线 客 户 端 扫 
描 到 无 线 网 络 ,无 形 中 会 增加 无 线 网 络 受到 攻击 的 几率 。 因 此 , 不 要 一 味 地 追求 无 线 网 络 的 覆盖 范 
围 ， 只 要 满足 需求 就 可 以 。 另 外 ， 从 安全 角度 考虑 ， 无 线 AP 的 放置 位 置 也 较为 重要 ， 一 般 情况 将 
无 线 AP 放置 在 无 线 网 络 中 央 ， 避 免 将 无 线 AP 放 在 离 窗 口 过 近 的 地 方 ， 这 样 无 线 信号 外 泄 的 机 会 
会 减少 。 

2. 无 线 AP 数据 传输 没有 加 密 带 来 的 安全 隐患 

很 多 人 在 购买 无 线路 由 器 后 ， 根 据 无 线路 由 器 设置 说 明 进 行 设 置 后 ， 直 接 利 用 无 线路 由 器 进 
行 上 网 ,而 没有 对 无 线路 由 器 的 默认 出 厂 设置 进行 任何 更 改 , 更 没有 对 无 线 网 络 的 数据 传输 的 加 密 
机 制 进行 设置 。 在 这 种 情况 下 ， 无 线 网 络 的 安全 问题 最 容易 发 生 。 

3. 无 线 网 络 破解 工具 的 流行 带 来 的 安全 隐患 


随 着 无 线 网 络 的 流行 , 各 种 无 线 破解 技术 也 开始 在 市 场 上 出 现 ,因此 即使 对 无 线 AP 进行 了 严 
格 的 安全 措施 ， 比 如 加 大 无 线 AP 管理 员 的 密码 复杂 度 、 设 置 无 线 AP 数据 加 密 等 ， 也 有 可 能 会 被 
无 线 网 络 破解 工具 破解 。 


13.2 无 线 安全 实施 措施 


人 们 在 享受 无 线 网 络 带 来 便捷 性 的 同时 ， 必 须 时 刻 注意 无 线 网 络 的 安全 性 ， 因 为 无 线 网 络 
的 信号 总 是 以 广播 的 形式 在 传输 ， 有 具备 无 线 扫描 功能 的 任何 设备 都 能 随时 随地 接收 到 区 域内 的 
无 线 信 号 ， 这 时 就 需要 在 无 线 AP 处 设置 无 线 客户 端的 准 入 机 制 或 数据 加 密 工 作 ， 防 止 未 被 授 
权 的 设备 登录 无 线 AP。 


13.2.1 家 庭 无 线 局 域 网 的 管理 


随 着 计算 机 的 普及 ， 更 多 的 家 庭 拥有 了 不 止 一 台 计算 机 ， 于 是 便 产 生 了 家 庭 局 域 网 。 家 庭 局 
域 网 最 开始 是 选择 购买 家 用 路 由 器 ， 然 后 进行 网 线 的 连接 。 但 在 方便 共享 上 网 的 同时 ， 蜂 蛛网 般 的 
网 线 连接 影响 了 家 庭 的 整体 美观 , 于 是 人 们 开始 追求 家 庭 无 线 局 域 网 , 没有 网 线 的 束缚 却 能 享受 有 
线 网 络 的 乐趣 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


下 面 详细 介绍 如 何 建立 家 庭 无 线 网 络 , 需要 准备 的 硬件 是 家 用 无 线路 由 器 , 本 实例 以 TP-LINK 
TL-WR340G+ 54M 型 号 无 线路 由 器 进行 讲解 ， 然 后 进行 线 缆 的 连接 ， 如 图 13-1 所 示 为 家 用 无 线路 
由 器 的 连接 拓扑 图 。 


-JInternet  ， 


1. 开启 路 由 器 无 线 功能 

建立 家 庭 无 线 局 域 网 的 第 一 步 是 开启 路 由 器 无 线 功能 ， 具 体 的 操作 步骤 如 下 。 

to 本 机 的 IP 地址 设置 为 192.168.1.0/24 网 段 ， 然 后 在 正 浏览 器 的 地 址 栏 中 输入 
http:/192.168.1.1， 如 图 13-2 所 示 ， 单 击 【 转 到 】 按 钮 。 


SEEDUTZTCTTTTTTZTGG alglz| 

SE > x Ee 

Ban | 从 "日 - 各 -IAD ” 

习 

J 

I! 厂矿 三 厂矿 厂 古语 Be TP WR [A 
图 13-2 


JP 地 址 设置 哪个 网 段 以 及 用 什么 IP 地 址 访问 路 由 器 ， 具 体 需要 参考 《无 线路 由 器 使 
用 操作 说 明 书 》 不 过 大 部 分 的 TP-LINK 路 由 器 默认 IP 地 址 都 为 192.168.1.1。 
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2 弹出 【连接 到 192.168.1.1】 对 话 框 ， 在 【用 户 名 】 和 【密码 】 文 本 框 中 分 别 输入 用 户 名 
和 密码 ，TP-LINK 的 家 用 路 由 器 的 默认 用 户 名 和 密码 都 为 “admin”， 如 图 13-3 所 示 ， 单 击 【确定 】 
按钮 。 
到 


”i 


位 于 TP-LDIK Wreless Router WR3406 的 服务 器 
192.168. 1.1 要 求 用 户 名 和 密码 。 


图 13-3 


03j 弹出 【TP-LINK】 路 由 器 的 设置 页 面 ， 选 择 左 侧 【 网 络 参数 】>【WAN 口 设 置 】〗 选 项 ， 
设置 TP-LINK 的 上 网 方式 .在 【WAN 口 连接 类 型 〗 下 拉 菜 单 中 选择 上 网 方式 ， 一 般 情况 下 家 庭 
都 是 通过 ADSL 方式 也 就 是 电话 线 上 网 ， 需 要 在 【WAN 口 连 接 类 型 〗 下 拉 列 表 中 选择 【PPPoE】 
选项 ， 在 【上 网 账号 〗 和 【上 网 口令 〗 文 本 框 中 分 别 输 入 合法 的 上 网 账号 和 密码 ， 如 图 13-4 所 示 ， 
单 击 【和 连接】 按钮 即 可 。 


mo 查看 名 收藏 夫 W) 工具 中 帮助 了 
寅 Er 


TP-LINK al I 实现 54M 无 线 局 速 


AND 连接 类 型 : 。 [PPPoE = 


上: 037106733875 
上 由 ns: 


如 果 正 常 拨号 模式 下 无 法 连接 成 功 ， 请 依次 滨 试 下列 慎 式 中 的 特殊 拨号 模 
式 : 


个 正常 找 号 模式 
个 特殊 捧 号 模式 1 
个 特殊 捧 号 模式 2 
人 特殊 拔 号 模式 3 二 
和 100% > 括 
图 13-4 


to 约 选择 左 侧 【网 络 参数 】> 【LAN 口 设 置 】〗 选 项 ， 在 【 卫 地 址 〗 和 【 子 网 掩 码 〗 文 本 框 中 
分 别 输入 局 域 网 内 部 计算 机 的 网 关 和 子 网 掩 码 ， 需 要 注意 这 个 IP 地 址 就 是 内 部 局 域 网 计算 机 的 网 
关 ， 同 时 也 是 客户 机 访问 TP-LINK 路 由 器 的 了 P 地址 ， 本 实例 中 输入 “192.168.1.1”， 如 图 13-5 所 
示 ， 单 击 【 保 存 】 按 钮 即 可 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 
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注意 : 当 LWIP 多 数 (包括 !? 地 址 、 于 网 挤 码 ) 发 生 交 更 时 。 为 确保 DC 
服务 器 能效 正 党 工 作 ， 应 保证 DHC? 服 务 器 中 设置 的 地 址 邮 、 幕 坊 地 址 与 新 的 
LANDIF 是 处 于 同一 网 挨 ， 并 请 重 让 路 由 器 * 


[区 列 ] 本 而 ] 


三 三 三 厂矿 晤 久保 模式: 攻 用 0 
图 13-5 
tog 选择 左 侧 【无线 参数 】>【 基 本 设置 〗 选 项 ， 选 择 【 开 启 无 线 功 能 〗 复 选 框 ， 如 图 
所 示 ， 单 击 【 保 存 】〗 按 钮 ， 到 此 一 个 简单 的 无 线路 由 器 就 设置 完毕 。 
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= 加 对 
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TP-LINK 加 到 作用 一 实现 54M 无 线 高 速 上 网 


本 页 面 设置 路 由 器 无 线 同 络 的 基本 各 元 和 女 全 认证 选项 ， 


ssma: tp-link 
频 颇 : ERA 
恒 式 : [Er | 


打开 局 于 颖 四 院 人 E 
到 feiss 入 选择 开启 无 线 功能 


功能 


支 全 提示 :为 保障 网 络 安全 ， 强 到 推荐 开启 安全 设置 ， 并 使 用 
WPA-PSK/WPA2-PSK AEShH 密 方法 。 


Len 


避 | 司 
[ 三 广 三 加 而 V1 [EC 


图 13-6 
2. 客户 端 连 接 
建立 家 庭 无 线 局 域 网 的 第 二 步 是 连接 无 线 客户 端 ， 具 体操 作 步 骤 如 下 。 
I 加 客户 端 连 接 无 线路 由 器 。 本 实例 采用 Win7 系统 的 笔记 本 来 作为 无 线 客户 端 。 单 击 系统 
桌面 右 下 角 的 【 国 ] 图 标 , 如 图 13-7 所 示 , 会 看 到 无 线 客户 端 自动 扫描 到 区 域内 的 所 有 无 线 信号 。 
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tnk | 
自动 扫描 到 无 线 信号 


图 13-7 
toO3 右 击 扫 描 出 现 的 【tp-link】 信 号 ， 在 弹出 的 快捷 莱 单 中 选择 【连接 〗 选 项 ， 如 图 13-8 所 示 。 


当前 连接 于 好 
二 和 ere3a 

无 浅 网 结 连 琅 ~ 
pink [过 l | 


| 
打开 网 洁 和 共享 中 心 | 
图 13-8 


03) 连接 成 功 后 ， 在 系统 右 下 角 出 现 【 贺 】 图 标 ,将 鼠标 放 在 【tp-link】 信 号 上 面 ， 可 以 看 到 
该 无 线 信号 信息 ， 如 图 13-9 所 示 。 此 时 ， 该 计算 机 就 可 以 正常 的 访问 互联 网 了 。 


当前 过 法 下 本 
局 寺 

无 Internet 访问 

tp-link 2 

lnternet 访问 
无 线 网 络 连 琅 < 


打开 网 络 和 共享 中 心 | 
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13.2.2 ”无线 安 全 加 密 


无 线 网 络 不 需要 物理 线 缆 ， 非 常 方便 ， 但 正 因为 无 线 网 络 需 要 靠 无 线 信号 进行 信息 传输 ， 而 
无 线 信号 又 管理 不 便 ， 因 此 ， 数 据 的 安全 性 遭遇 了 前 所 未 有 的 挑战 ， 于 是 ， 各 种 各 样 的 无 线 加 密 算 
1. WEP 加 密 


相对 于 有 线 网 络 来 说 ， 通 过 无 线 局 域 网 发 送 和 接收 数据 更 容易 被 窍 听 。 设 计 一 个 完善 的 无 线 
局 域 网 系统 , 加 密 和 认证 是 需要 考虑 的 两 个 必 不 可 少 的 安全 因素 。 无 线 局 域 网 中 应 用 加 密 和 认证 技 
术 的 最 根本 目的 就 是 使 无 线 业务 能 够 达到 与 有 线 业 务 同样 的 安全 等 级 。 针 对 这 个 目标 ，IEEE802.11 
标准 中 采用 了 WEP(Wired Equivalent Privacy: 有 线 对 等 保密 ) 协 议 来 设置 专门 的 安全 机 制 ， 进 行业 务 
流 的 加 密 和 节点 的 认证 。 它 主要 用 于 无 线 局 域 网 中 链 路 层 信息 数据 的 保密 。 

WEP 采用 对 称 加 密 机 理 , 数据 的 加 密 和 解密 采用 相同 的 密 钥 和 加 密 算法 。WEP 使 用 加 密 密 钥 
(也 称 为 WEP 密 钥 ) 加 密 802.11 网 络 上 交换 的 每 个 数据 包 的 数据 部 分 。 启 用 加 密 后 ， 两 个 802.11 设 
备 要 进行 通信 ， 必 须 具 有 相同 的 加 密 密 钥 , 并 且 均 配置 为 使 用 加 密 。 如 果 配 置 一 个 设备 使 用 加 密 而 
另 一 个 设备 没有 , 则 即使 两 个 设备 具有 相同 的 加 密 密 钥 也 无 法 通信 。 也 就 是 说 所 有 无 线 客户 端 和 无 
线 接 入 点 必须 使 用 一 个 共享 的 加 密 密 钥 进行 加 密 ， 密 钥 越 长 ， 黑 客 破解 的 时 间 越 长 ， 也 就 越 安全 。 

下 面 详细 介绍 无 线 网 络 WEP 加 密 的 具体 方法 。 

(1) 设置 无 线路 由 器 WEP 加 密 数 据 

设置 无 线路 由 器 WEP 加 密 数 据 具体 操作 步骤 如 下 。 

和 在 正 浏 览 器 的 地 址 栏 中 输入 “http://192.168.1.1”， 访 问 无 线路 由 器 ， 如 图 13-10 所 示 ， 
单 击 【 转 到 】 按 钮 。 
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图 13-10 


I02) 弹出 【连接 到 192.168.1.1】 对 话 框 ,在 【用 户 名 】〗 和 【密码 】 文 本 框 中 分 别 输 入 用 户 名 
和 密码 ，TP-LINK 家 用 路 由 器 的 默认 用 户 名 和 密码 都 为 “admin”， 如 图 13-11 所 示 ， 单 击 【确定 】 
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按钮 。 
EE 


TP-LINK Wireless Router WR3406 的 服务 器 
用 户 名 和 密码 。 


图 13-11 


I03) 单 击 左 侧 【 无 线 参数 〗>【 基 本 设置 〗】 选 项 ， 选 择 【 开 局 安全 设置 】〗 复 选 杠 ， 在 【安全 
类 型 〗 下 拉 菜 单 中 选择 【WEP] 选项 ， 在 【 密 钥 格 式 选 择 〗】 下 拉 菜 单 中 选择 【ASCI 码 〗 选 项 。 
设置 密 钥 ， 在 【 密 钥 1】 后 面 的 【 密 钥 类 型 〗 下 拉 列 表 中 选择 【64 位 〗 选 项 ， 在 【 密 钥 内 容 】 文 本 
框 中 输入 要 使 用 的 密码 ， 本 实例 输入 密码 为 “cisco”， 单 击 【保存 】〗 按 钮 ， 如 图 13-12 所 示 。 
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安全 提示 .为 分 障 网 络 安全 ， 强 刑 推辞 开 启 友 全 设置 ， 并 使 用 
IPA-ESKIYPA-PSK AESh0 窗 方法 


了 厅 开局 安生 设置 
安生 类 型: 
安全 适 硕 : 


密 名 格式 选择 : 


r 
码 证 5 个 村 择 128 们 定 坟 项 输 入 le 进 抽 数 字 行 26 
密码 长度 说 且 t ,或 者 AscII 有 字符 13 个 。 村 输入 le 
进 制 灶 字 行 32 个 ， 或 者 ASCII 枉 字 行 16 个 * 
EE 上 宫 铺 丙 容 宣 畏 类 型 


(2) 客户 端 连接 
需要 WEP 加 密 认 证 的 无 线 客户 端 连 接 的 具体 操作 步骤 如 下 。 


I0 和 1 单 击 系统 桌面 右 下 角 【 国 】 图 标 ， 无 线 客户 端 自动 扫描 到 区 域内 的 所 有 无 线 信号 ， 如 图 
13-13 所 示 。 


中 小 蜡 企 业 网 络 管 理 实战 富 典 基于 Windows 平台 


自动 扫描 到 区 域 
内 的 无 线 信号 


图 13-13 
I02 右 击 【tp-link] 信号 ， 在 弹出 的 快捷 菜单 中 选择 【连接 〗 选 项 ， 如 图 13-14 所 示 。 


打开 网 阁 和 共享 中 心 


当前 连接 至 : 全 
未 识别 的 网 络 
无 Internet 访问 
无 颖 网 络 连 接 ~ 
tp-link [| | 
tgs | 
204 | 
TP-LINK SW | 
| 
\ | 


图 13-14 


iQ3j 弹出 【连接 到 网 络 】〗 对 话 框 ， 在 【安全 密 钥 】 文 本 框 中 输入 密码 “cisco”， 单 击 【 确 定 】 
按钮 ， 如 图 13-15 所 示 。 


13-15 
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4 单 击 系统 桌面 右 下 角 【 回 】 图 标 ,将 鼠标 放 在 【tp-link】 信 号 上 ， 可 以 看 到 无 线 信 号 的 连 
接 情况 ， 如 图 13-16 所 示 ， 表 明 已 经 成 功 连接 无 线路 由 器 。 
当前 连接 到 : 


tp-link 
> 无 Internet 访问 


= 未 识别 的 网 络 
了 无 Intemet 访 问 


无 网 阁 连 接 
tp-link 


打开 网 络 和 共享 中 心 


图 13-16 
2. WPA 加 密 


早期 的 WEP 无 线 加 密 算法 在 无 线 网 络 的 数据 安全 方向 起 到 了 很 大 的 作用 ， 但 是 WEP 使 用 的 
是 静态 的 密 钥 而 非 动态 密 钥 ， 导 臻 WEP 密码 很 容易 被 监听 到 或 者 破解 ， 因 此 ， 在 组 建 无 线 网 络 的 
时 候 ， 理 想 的 做 法 是 用 WPA 和 WPA2 加 密 算法 来 代替 WEP。 

WPA 算法 主要 用 于 增强 无 线 局 域 网 系统 的 数据 保护 和 访问 控制 水 平 ,采用 了 动态 的 加 密 密 
钥 。WPA2 是 在 WPA 的 基础 之 上 ， 经 由 Wi-Fi 联盟 验证 过 的 IEEE802.11i 标准 的 验证 形式 ， 是 
目前 公认 的 比较 安全 的 无 线 加 密 算法 。 

WPA 作为 WEP 的 升级 版 ， 在 安全 性 方面 有 了 很 大 的 改进 ， 主 要 体现 在 身份 验证 、 加 密 机 制 
和 数据 包 检查 等 方面 ,并且 WPA 使 用 了 动态 密 钥 ,使 得 黑客 破解 起 来 相当 费力 。 但 是 完整 的 WPA 
设置 比较 复杂 ， 一 般 用 户 很 难 操作 ， 导 致 WPA 和 WPA2 算法 在 实际 中 应 用 很 少 ， 除 非 是 对 无 线 网 
络 要 求 及 其 苛刻 的 公司 才 会 使 用 。 

3. WPA-PSK 安全 加 密 算法 


由 于 WPA 操作 复杂 ， 因 此 不 管 是 在 家 庭 还 是 在 公司 的 应 用 中 经 常 采用 WPA 的 简化 版 : 
WPA-PSK 和 WPA2-PSK。WPA-PSK 可 以 看 成 是 一 个 认证 机 制 ， 只 要 求 一 个 单一 的 密码 进入 每 个 
无 线 局 域 网 节点 例如 无 线路 由 器 )， 只 要 密码 正确 ， 就 可 以 使 用 无 线 网 络 。 

WPA-PSK 安全 加 密 机 制 和 WPA 是 相同 的 , 两 者 的 区 别 是 : WPA-PSK 认证 被 简化 为 只 要 一 个 
简单 的 密码 ， 而 不 需要 设置 复杂 的 身份 证 明 等 信息 。WPA-PSK 的 缺点 是 : 同 WEP 一 样 也 易 受 到 
黑客 的 破解 。 但 因为 密 钥 是 动态 的 ， 其 安全 性 比 WEP 要 强 很 多 。 

下 面 介绍 如 何 使 用 WPA-PSK 或 者 WPA2-PSK 加 密 无 线 网 络 的 方法 。 


(1) 设置 无 线路 由 器 WPA-PSK 安全 加 密 数 据 
设置 无 线路 由 器 WPA-PSK 安全 加 密 的 具体 操作 步骤 如 下 。 
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中 小 型 企业 网 络 管 理 实 战 泽 典 一 一 花 于 Windows 平台 


0 和 在 下 浏览 器 的 地 址 栏 中 输入 “http://192.168.1.1” ， 如 图 13-17 所 示 ， 单 击 【 转 到 】 按 


钮 。 
oon jr 从 -日 - 名 -而 0) -可 TITRO  ” 
司 
到 
[ 三 三 三 三 三 厂 局 万 ewe TW mmm a 
图 13-17 


02 弹出 【连接 到 192.168.1.1】 对 话 框 ， 在 【用 户 名 】 和 【密码 】 文 本 框 中 分 别 输入 用 户 名 
和 密码 ，TP - LINK 的 家 用 路 由 器 的 默认 用 户 名 和 密码 都 为 “admin” ,如 图 13-18 所 示 , 单 击 【 确 
定 】 按 钮 . 


xj 


三 
证 5 王 

a eh 

用户 名 [wm 可 

BD: Teeeee 
厂 记 住 项 和 码 四 

CEJ _w | 

图 13-18 


to3j 选择 左 侧 【无 线 参 数 】〗】 二 【基本 设置 〗 选 项 ， 选 择 【 开 启 安全 设置 〗 复 选 框 ， 在 【安全 
类 型 〗 下 拉 列 表 中 选择 【WPA-PSK/WPA2-PSK]】 选 项 ， 在 【安全 选项 】 和 【加 密 方法 】 下 拉 菜 单 
中 分 别 选 择 【自动 选择 】〗 选 项 ， 在 【PSK 密码】 文本 框 中 输入 加 密 密 码 ， 本 实例 设置 密码 为 
“sushi1986” ， 如 图 13-19 所 示 ， 单 击 【 保 存 】 按 钮 。 
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司 Jsr) x := 


BEST $e Br RE IaD WO 
赤 朗 Tri 


从 "日 -各 -+ 使 I 有 D+:” 


的 开 记 二 能 
厅 ffifssnr 拓 


厂 开户 arisss 功 能 | 
安全 提示 :为 保障 问 巡 安全 ， 强 到 推荐 开户 安全 设置 ， 并 使 用 
法 。 


最 短 为 8 个 字符 ， 最 长 为 63 个 字符 


图 13-19 


04 弹出 【Windows Internet Explorer】 提 示 对 话 框 ， 如 图 13-20 所 示 ， 单 击 【确定 】〗】 按 钮 ， 


重新 启动 路 由 器 即 可 。 


[viaaevs Internet EL x 


[2 BD MEI9? 


— mw | 
图 13-20 


(2) 客户 端 连接 


使 用 WPA-PSK 安全 加 密 认 证 的 无 线 客户 端 连接 的 具体 操作 步骤 如 下 。 
I0 和 9 单 击 系统 桌面 右 下 角 【 贺 】 图标， 无 线 客户 端 会 自动 扫描 区 域内 的 无 线 信号 ， 如 图 13-21 


所 示 。 


当前 连接 到 : 


二 = 未 识 别 的 网 结 
9 无 Imemetih 问 


扫描 到 区 域内 的 
无 线 信号 


图 13-21 


中 小 型 企业 网 络 管 理 实战 泽 典 一 一 基于 Windows 平台 


2 右 击 【tp-link】 信 号 ， 在 弹出 的 快捷 菜单 中 选择 【连接 】 莱 单 命令 ， 如 图 13-22 所 示 。 


当前 连接 到 : 每 
无 Internet 访问 


无 颖 网 络 连 接 


pink [这 六 本 | 
辐 ESE go 
:| 


tzgs 
204 


TP-UNK SW | 


‖ 打开 网 阁 和 共享 中 心 | 


图 13-22 
toO3j 弹出 【连接 到 网 络 〗 对 话 框 ， 在 【安全 密 钥 】 文 本 框 中 输入 密码 “sushi1986”， 单 击 【 确 
定 】 按 钮 ， 如 图 13-23 所 示 。 


图 13-23 


io 约 单 击 系统 桌面 右 下 角 【 贺 〗 图 标 ， 将 鼠标 放 在 【tp-link]〗 信 号 上 ， 可 以 看 到 无 线 信 号 的 
连接 情况 ， 如 图 13-24 所 示 ， 表 明 已 经 成 功 连接 无 线路 由 器 。 


当前 连 缠 到: 
tp-link 
了 Internet 访问 


未 识别 的 网 络 
专 无 Internet 访问 
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在 WPA-PSK 加 密 算 法 的 使 用 过 程 中 ， 密 码 设置 应 该 尽 可 能 复杂 ， 并 且 要 注意 定期 更 
改 密码 。 

提 示 

13.2.3 ”设置 独特 的 SSID 


SSID (Service Set Identifier) 主要 用 来 区 分 不 同 的 无 线 网 络 ， 相 当 于 给 每 个 无 线 网 络 设置 
了 ID 号 码 ， 只 有 当 无 线 客 户 端 和 无 线 AP 的 SSID 一 样 时 ， 才 可 以 进行 通信 。 一 般 情况 下 ， 无 
线 网 络 的 SSID 在 无 线 AP 上 进行 设置 并 有 AP 广播 出 来 , 经 过 无 线 客户 端的 扫描 功能 可 以 看 到 
当前 区 域 的 无 线 网 络 ， 然 后 选择 相应 的 SSID 进行 连接 。 因 此 SSID 就 相当 于 是 无 线 网 络 的 名 称 ， 
一 般 情 况 下 将 SSID 设置 为 具有 独特 意义 的 字符 ， 比 如 说 公司 的 名 称 等 。 

下 面 介绍 如 何 设置 SSID 的 具体 操作 步骤 。 


1. 设置 无 线路 由 器 独特 的 SSID 
设置 无 线路 由 器 独特 的 SSID 的 具体 操作 步骤 如 下 。 
I0 在 正 浏 览 器 的 地 址 栏 中 输入 “http:/192.168.1.1” ， 如 图 13-25 所 示 ， 单 击 【 转 到 】 按 


钮 。 
PB EAN - Yisdoss Tatorset sylerer 可 
BLS Dix [ol 
2 | 1 全 " 回 -友人 四 TIRo +.” 
E| 
到 | 
[ | EF 砚 周 termel | 集 名 要 式 大 有 RID 


图 13-25 


tQ3j 弹出 【连接 到 192.168.1.1】 对 话 框 ， 在 【用 户 名 】 和 【密码 】 文 本 框 中 分 别 输入 用 户 名 
和 密码 ，TP-LINK 的 家 用 路 由 器 的 默认 用 户 名 和 密码 都 为 “admin” ， 如 图 13-26 所 示 ， 单 击 【 确 
定 】 按 钮 。 
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EE 


Rr 
人 


入 E3406 的 服务 器 


Cw |] mw | 
图 13-26 
93) 单 击 左 侧 【 无 线 参数 】 二 【基本 设置 〗 选 项 ， 选 择 【 开 启 安全 设置 〗 复 选 框 ， 在 【SSID 


号 】 文 本 框 中 输入 要 设置 的 SSID 号 ， 本 实例 输入 SSID 号 为 “ssh”。 在 【频段 】〗 下 拉 列 表 中 选择 


要 使 用 的 频段 ， 在 【模式 〗 下 拉 列 表 中 选择 要 使 用 的 无 线 网 络 协议 ， 如 图 13-27 所 示 ， 单 击 【 保 存 】 
按钮 。 


[STP-LINK - Windors Internet Erplerer 


=9lx| 
FE 
丛 - 回 ， 吨 - Rn- 负 IRoD 


TIP-LINK' [一 上司 强人 的 - 跃 ， 实现 54M 无 线 高 速 上 网 


De mw /re cet oli 
EE 


本 页 面 设置 路 由 凑 无 19 络 的 时 本 参 教 和 安全 认证 选 硕 。 
3 


全 输入 SSID 号 
错 式 : [Er 5009 司 


瑟 开启 无疆 功能 
允许 ssnr 撞 


加 
[srr | 


IE 若 用 


图 13-27 


【分 频段 可 以 任意 选择 ， 但 是 在 一 个 区 域内 多 个 SSID 的 频段 不 能 重复 ， 在 选择 模式 时 ， 

如 果 选 择 802.11g 协议 则 无 线 网 络 的 速度 最 快 可 以 达到 54Mbps, 如 果 选 择 802.11b 协 

提 示 。 议 则 无 线 网 络 的 最 快速 度 可 以 达到 11Mbps， 要 注意 的 是 ， 无 线路 由 器 采用 什么 协议 
需要 无 线 客户 端的 支持 。 


I04 弹出 【Windows Internet Explorer】〗 提 示 对 话 框 ， 如 图 13-28 所 示 ， 单 击 【确定 】〗】 按 钮 ， 
重新 启动 路 由 器 即 可 。 
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【2) 无 缚 网 设置 的 更 改 拉 号 到 路 由 妾 的 重新 启动 ， 您 磅 定 四 ? 


CE ]_ | 


图 13-28 
2. 客户 端 连接 
使 用 SSID 设置 的 无 线 客户 端 连接 的 具体 操作 步骤 如 下 。 


0 和 单 击 系统 桌面 右 下 角 【 圆 】 图 标 , 会 看 到 无 线 客户 端 自 动 扫 描 到 区 域内 的 所 有 无 线 信 号 ， 
在 其 中 看 到 的 信号 名 称 “ssh” 就 是 刚才 设置 的 无 线 网 络 的 SSID， 如 图 13-29 所 示 。 


当前 连接 到 : 


二 = 未 识别 的 网 络 
TY 无 Internet 访 问 


无 颖 网 络 连 接 


自动 搜索 到 区 域 
内 的 无 线 信号 


打开 网 洛 和 共享 中 心 


图 13-29 
to3 右 击 无 线 信号 【ssh】〗， 在 弹出 的 快捷 菜单 中 选择 【连接 】〗 选 项， 如 图 13-30 所 示 。 


当前 连接 到 : 


二 未 识别 的 网 络 
无 Internet 访问 


无 线 网 络 连接 


13-30 


3) 弹出 【连接 到 网 络 〗 对 话 框 ， 在 【安全 密 钥 】 文 本 框 中 输入 安全 密 铀 “sushil1986” ， 如 
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中 小 蜡 企 业 网 络 管 理 实 战 富 典 基于 Windows 平台 


图 13-31 所 示 ， 单 击 【确定 】〗】 按 钮 。 


图 13-31 


i@Q 毕 单 击 系统 桌面 右 下 角 【 回 】 图 标 ,将 鼠标 放 在 无 线 网 络 【ssh】〗 上 可 以 看 到 无 线 网 络 的 连 
接 情况 ， 如 图 13-32 所 示 无 线 客户 端 已 经 成 功 连接 到 无 线路 由 器 。 


当前 连接 到 : 


二 未 识别 的 网 络 
TY 无 Intemet 访 问 


> pe 
了 Internet 访问 


图 13-32 
13.2.4 禁用 SSID 广播 


SSID 就 是 一 个 无 线 网 络 的 名 称 ， 无 线 客户 端 通过 无 线 网 络 的 SSID 来 区 分 不 同 的 无 线 网 路 。 
为 了 安全 起 见 ， 往 往 要 求 无 线 AP 禁止 广播 该 SSID， 只 有 知道 该 无 线 网 络 SSID 的 人 员 才 可 以 进行 
无 线 网 络 连接 ， 禁 用 SSID 广播 的 具体 操作 步骤 如 下 。 


1. 设置 无 线路 由 器 禁用 SSID 广播 
无 线路 由 器 禁用 SSID 广播 的 具体 操作 步骤 如 下 。 
io 是 正 浏览 器 的 地 址 栏 中 输入 “http://192.168.1.1”， 如 图 13-33 所 示 ， 单 击 【 转 到 】 按 钮 。 


et 
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到 
EB [ i 2] er 


图 13-33 
92 弹出 【连接 到 192.168.1.1】 对 话 框 ， 在 【用 户 名 】 和 【密码 】〗 文 本 框 中 分 别 输入 用 户 名 
和 密码 ，TP-LINK 的 家 用 路 由 器 的 默认 用 户 名 和 密码 都 为 “admin”， 如 图 13-34 所 示 ， 单 击 【 确 
定 】 按 钮 。 


FE x 


Cw ] ww | 
图 13-34 
03) 设置 自己 无 线 网 络 的 SSID 信息 ， 取 消 选 择 【 人 允许 SSID 广播 】 复 选 框 ， 如 图 13-35 所 示 ， 


单 击 【 保 存 】 按 钮 。 


由 当天 类 同 阁 入 基本 参 灶 安全 认 评 壬 。 


实 会 选项 : EESEE 
全 六 T 厅 砚 本 汪汪 二 | 保护 模式 - 大 有 [Em 


图 13-35 


I04) 弹出 【Windows Internet Explorer】 提 示 对 话 框 ， 如 图 13-36 所 示 ， 单 击 【 确 定 】 按 钮 ， 
重新 启动 路 由 器 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


Windows Internet Explorer 


@ 无 缚 设置 的 更 疏 将 导致 路 由 吕 的 重新 启动 ， 您 太 定 则 ? 


Cu | ws | 


图 13-36 
2. 客户 端 连接 
禁用 SSID 广播 的 无 线 客户 端 连 接 的 具体 操作 步骤 如 下 。 
和 1 单 击 系统 桌面 右 下 角 【 贺 】 图 标 , 会 看 到 无 线 客户 端 自动 扫描 到 区 域内 的 所 有 无 线 信号 ， 


发 现 其 中 没有 SSID 为 【ssh] 的 无 线 网 络 ， 但 是 会 出 现 一 个 名 称 为 【其 他 网 络 】 的 信号 ， 如 图 13-37 
所 示 。 


SW-IT 
TP-UNK_SW 


其 他 网 阁 


图 13-37 
0 右 击 【 其 他 网 络 】， 在 弹出 的 快捷 菜单 中 选择 【连接 】 选 项 ， 如 图 13-38 所 示 。 


当前 连接 到 : 
三 未 识别 的 网 络 
无 Internet 访问 


无 线 网 络 连接 


13-38 
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itO3j 弹出 【连接 到 网 络 】 对 话 框 ， 在 【名 称 】 文 本 框 中 输入 要 连接 网 络 的 SSID 号 ， 本 实例 
这 里 输入 【ssh】〗， 如 图 13-39 所 示 ， 单 击 【确定 〗】 按 钮 。 


键入 网 络 的 名 称 (SSID) 


EA Sh 


图 13-39 


0 在 【安全 密 钥 】〗 文 本 框 中 输入 无 线 网 络 的 密 钥 ， 本 实例 这 里 输入 密 钥 【sushil1986〗， 如 
图 13-40 所 示 ， 单 击 【 确 定 】〗】 按 钮 。 


sushi1986 


加 隐 芒 字符 (H) 


图 13-40 


05) 单 击 系统 桌面 右 下 角 【 因 图 标 , 将 鼠标 放 在 【ssh】 信 号 上 可 以 看 到 无 线 网 络 的 连接 情 
况 ， 如 图 13-41 所 示 ， 表 明 无 线 客户 端 已 经 成 功 连接 到 无 线路 由 器 。 


当前 连接 到 : 
| El 
无 Internet 访问 


ssh 
SI Internet 访问 
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13.3 项 目 实施 : 媒体 访问 控制 (MAC) 地 址 过 滤 


网 络 管理 的 主要 任务 之 一 就 是 控制 客户 端 对 网 络 的 接 入 和 对 客户 端的 上 网 行为 进行 控制 ， 无 
线 网 络 也 不 例外 ， 通 常 无 线 AP 利用 媒体 访问 控制 (MAC) 地 址 过 滤 的 方法 来 限制 无 线 客 户 端的 


接 入 。 
1. 设置 无 线路 由 器 进行 MAC 地 址 过 滤 
使 用 无 线路 由 器 进行 MAC 地 址 过 滤 的 具体 操作 步骤 如 下 。 


tod 在 正 浏 览 器 的 地 址 栏 中 输入 “http:/192.168.1.1”， 如 图 13-42 所 示 。 


[EECTZTICTT77TNNN 到 SS -oo> 
sf ol- 


AI 
| 从 "日 -二 I 
习 


一 一 一 

图 13-42 

02 弹出 【连接 到 192.168.1.1〗 对 话 框 ， 在 【用 户 名 〗】 和 【密码 】 文 本 框 中 分 别 输入 用 户 名 
和 密码 ，TP-LINK 的 家 用 路 由 器 的 默认 用 户 名 和 密码 都 为 “admin” ， 如 图 13-43 所 示 ， 单 击 【 确 


定 】 按 钮 。 

了 本 

A 
NAPSW: [gc 可 
Ek [E> 

厂 记 住 我 的 生 码 @) 
| 
图 13-43 


03) 单 击 左 侧 【 无 线 参数 】> 【MAC 地 址 过 滤 】 选 项 ， 默 认 情况 MAC 地 址 过 滤 功 能 是 关闭 
状态 ， 单 击 【 启 用 过 滤 】 按 钮 开启 MAC 地 址 过 滤 功 能 ， 单 击 【 添 加 新 条 目 】 按 钮 ， 如 图 13-44 


所 示 。 
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TT 所 本 全 SA 介 站 术 过 茜 且 Fa 


图 13-44 


to 约 打开 新 页 面 , 在 【MAC 地 址 】 文 本 框 中 输入 无 线 客户 端的 MAC 地 址 ， 本 实例 输入 MAC 
地 址 为 “00-0C-29-5A-3C-97”， 在 【描述 】 文 本 框 中 输入 MAC 描述 信息 “sushipc”， 在 【类 型 】 
下 拉 菜 单 中 选择 【允许 】 选 项， 在 【状态 〗 下 拉 菜 单 中 选择 【生效 〗 选 项 ， 如 图 13-45 所 示 ， 依 照 
此 步骤 将 所 有 合法 的 无 线 客户 端的 MAC 地 址 加 入 到 此 MAC 地 址 表 后 ， 单 击 【 保 存 】〗 按 钮 。 


-= 加 对 


无 线 客 户 端的 
MAC 地 址 


| 隔 愧 [ 尽 可 篇 让 点 | 人 术科 :区 用 
图 13-45 


09j 选择 【过 滤 规 则 〗 中 的 【禁止 〗】 单 选 按钮 ， 表 明 禁 止 在 下 面 MAC 列表 中 生效 规则 之 外 
的 MAC 地 址 访问 无 线 网 络 ， 如 图 13-46 所 示 。 
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本 页 设 兽 mc 地 村 过 惠 示 控制 计 丰 机 对 本 无 线 P 络 的 访 可 。 


PHC 地 址 过 天 功 能 :已 关闭 EE 于 
ET 
全 多 许 列表 中 生效 规则 之 外 的 XC 地址 访问 本 元 绪 同 络 
覃 止 列表 中 生效 规则 之 969aMC 地 址 访问 本 元 线 P 络 
CT EE EE 编辑 
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启 i RI 
图 13-46 
06j 弹出 【Windows Internet Explorer】〗 提 示 对 话 框 ， 单 击 【 确 定 〗 按 钮 ， 更 改过 滤 规 则 ， 如 
图 13-47 所 示 。 
Ed| 


@ sm 


| 
图 13-47 


0 辐 客户 端 连 接 ， 此 时 在 无 线 客户 端 访问 无 线 AP 时 ， 会 发 现 除了 MAC 地 址 表 中 的 MAC 地 
址 之 外 ， 其 他 的 MAC 地 址 无 法 再 访问 无 线 AP， 也 就 无 法 访问 互联 网 。 


13.4 专家 答疑 


(1) 在 无 线路 由 器 中 对 数据 进行 WPA-PSK 加 密 设 置 后 ， 无 线 客户 端 连接 的 时 候 ， 总 是 提示 
连接 不 成 功 ， 但 是 用 无 线 网 卡 连接 WEP 加 密 的 无 线 AP 则 不 会 出 现 这 种 问题 ? 
答 : 在 上 面 讲解 的 WEP 和 WPA-PSK 加 密 算法 ， 需 要 无 线 AP 和 无 线 客户 端 同时 支持 ， 由 于 
有 些 老 的 无 线 客户 端 只 支持 WEP 加 密 ， 那 么 这 些 客户 端 就 不 能 使 用 WPA-PSK 加 密 的 无 线 AP。 
(2) 将 无 线路 由 器 设置 完毕 后 ， 经 过 多 次 检查 ， 无 线路 由 器 设置 没有 问题 ， 但 是 无 线 客户 端 
连接 不 上 ? 
答 : 如 果 无 线路 由 器 设置 没有 问题 ， 但 是 客户 端 却 连接 不 上 ， 主 要 由 以 下 几 个 原因 造成 : 
无 线 AP 的 频率 设置 有 问题 ， 有 的 叫做 模式 。 所 谓 无 线 AP 的 频率 ， 是 指 无 线 信号 传输 使 用 
的 无 线 电 频 率 ， 如 果 在 一 个 区 域 中 出 现 两 个 无 线 信号 的 频率 一 样 ， 会 导致 数据 传输 失败 。 
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@ 无 线 客户 端 被 无 线 AP 设置 为 访问 限制 ， 比 如 MAC 地 址 过 滤 。 
@ 无 线 客户 端 不 支持 无 线 AP 使 用 的 无 线 协议 。 
(3) 怎么 知道 无 线 AP 正在 被 哪些 客户 机 访问 ? 
答 : 查看 无 线 AP 已 连接 客户 端 信息 的 具体 操作 步骤 如 下 。 
0 和 在 正 浏 览 器 的 地 址 栏 中 输入 “http://192.168.1.1” ， 如 图 13-48 所 示 。 


=Ielx| 
3 AH 
-i IRD” 
到 


GO eww /ew 
窗 守 和 @ 页 | 1 


下 
厂 厂 厂 厂 厂 厂 局 不 : 昔 用 [i 


图 13-48 
to3 弹出 【连接 到 192.168.1.1】 对 话 框 ， 在 【用 户 名 】〗 和 【密码 】 文 本 框 中 分 别 输入 用 户 名 
和 密码 ，TP-LINK 的 家 用 路 由 器 的 默认 用 户 名 和 密码 都 为 “admin”， 如 图 13-49 所 示 ， 单 击 【 确 


定 】〗 按 钮 。 
EE 


用 户 各 QD; [sy = 
密码 @) [2 2 
厂 记 信 我 的 密码 四 
Ce ] ws | 
图 13-49 


io3j 单 击 左 侧 【 无 线 参数 】>【 主 机 状态 】 选 项 ， 查 看 现在 有 哪些 主机 正在 访问 无 线 AP， 如 
图 13-50 所 示 。 
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图 13-50 


第 14 章 企业 防火 墙 


随 着 依赖 网 络 、 计 算 机 办 公 的 人 和 企业 越 来 越 多 ， 相 应 的 网 络 威胁 也 层出不穷 ， 如 常见 的 病 
毒 、 木 马 、 网 络 攻 击 等 等 。 一 旦 企业 网 络 或 家 庭 个 人 计算 机 遭受 网 络 威胁 ， 都 会 带 来 巨大 的 损失 ， 
尤其 是 企业 网 络 。 目 前 解决 外 网 攻击 最 有 力 的 手段 就 是 防火 墙 技术 。 


14.1 防火墙 概述 


提起 防火 墙 技 术 ， 大 多 数 人 都 接触 过 ， 平 时 使 用 Windows 系统 时 ， 为 了 个 人 主机 安全 通常 会 
开启 Windows 自 带 的 防火 墙 ， 以 保护 个 人 主机 的 安全 。 另 外 ， 局 域 网 内 往往 会 出 现 ARP 病毒 或 攻 
击 ， 使 个 人 主机 遭受 地 址 欺骗 ， 这 时 可 以 使 用 ARP 防火 墙 阻止 外 部 地 址 欺骗 的 攻击 流 ， 保 护 主机 
安全 。 但 在 复杂 的 企业 网 络 环境 中 ,网 络 攻击 的 数量 、 威 胁 都 很 大 ,一 个 单机 防火 墙根 本 解决 不 了 
全 网 的 网 络 威胁 ， 这 时 就 需要 使 用 企业 防火 墙 。 


14.1.1 ”什么 是 企业 防火 墙 


企业 防火 墙 是 指 由 软件 和 硬件 设备 构成 的 用 于 限制 企业 内 网 和 外 网 之 间 流 量 访问 的 安全 架 
构 。 防 火 墙 是 一 种 访问 控制 和 隔离 技术 ， 是 网 络 安全 区 域 和 不 安全 区 域 的 屏障 。 

企业 防火 墙 可 以 作为 内 网 的 安全 网 关 ， 确 保 内 网 免 受 外 网 非法 用 户 的 入 侵 。 防 火 墙 可 以 通过 
服务 访问 规则 、 验 证 技术 、 包 过 滤 和 应 用 网 关 四 部 分 功能 ， 使 流入 流出 的 所 有 信息 被 检测 被 控制 ， 
所 有 具有 安全 隐患 的 流量 都 可 以 被 拒绝 转发 。 

在 企业 网 内 部 有 很 多 用 户 ， 并 不 是 每 一 个 用 户 都 能 安全 的 使 用 计算 机 。 大 多 数 用 户 对 计算 机 
的 安全 配置 了 解 甚 少 ， 经 常 出 现 不 安装 防火 墙 、 杀 毒 软 件 ， 处 于 “裸奔 ”状态 的 主机 ， 再 加 上 有 些 
用 户 上 网 行为 不 规范 , 很 容易 成 为 外 网 网 络 攻击 者 实施 全 网 攻击 的 跳板 。 与 其 逐个 的 去 督促 管理 用 
户 安全 使 用 计算 机 ， 不 如 在 网 络 出 口 架设 一 套 防火 墙 系统 显得 更 为 有 效 。 
企业 防火 墙 并 不 是 在 网 络 出 口 位 置 进行 安装 了 就 能 起 到 保护 全 网 的 作用 ， 在 架设 防火 墙 系统 
时 还 应 当 设计 一 套 安全 、 可 靠 的 访问 控制 规则 ， 准 确 的 拒绝 、 过 滤 具 有 安全 隐患 的 流量 ， 而 让 合法 
流量 顺利 通过 。 所以， 一 套 完整 的 企业 防火 墙 系统 应 当 由 两 部 分 组 成 : 软 硬 件 防火 墙 环 境 和 防火 墙 
配置 策略 。 
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14.1.2 ”防火 墙 的 分 类 


防火 墙 技术 自 出 现 起 ， 发 展 至 今 已 经 产生 了 很 多 的 类 型 。 从 功能 、 技 术 、 结 构 、 性 能 等 多 个 
方面 可 以 对 防火 墙 进行 分 类 ， 如 表 14-1 所 示 。 


表 14-1 


| 分 类 方式 
| 软 硬 件 构成 形式 


类 别 
软件 防火 墙 


硬件 防火 墙 | 芯片 级 防火 墙 


防火 墙 功能 技术 包 过 滤 防 火 墙 状态 检测 防火 墙 应 用 代理 型 防火 墙 
防火 墙 结构 单一 主机 防火 墙 集成 路 由 防火 墙 分 布 式 防火 墙 
| 防火 墙 的 应 用 部 署 位 置 边界 防火 墙 个 人 防火 墙 | 混合 防火 墙 


| 防火 墙 性 能 百 兆 级 防火 墙 千 兆 级 防火 墙 | 

防火 墙 使 用 方法 网 络 层 防火 墙 物理 层 防火 墙 链 路 层 防火 墙 
防火 墙 的 种 类 繁多 ， 选 择 时 考虑 最 多 的 还 是 它 的 功能 技术 。 下 面 介 绍 一 下 包 过 滤 防 火 墙 、 状 

态 检测 防火 墙 和 应 用 代理 型 防火 墙 。 


1. 包 过 滤 防 火 墙 


包 过 滤 防 火 墙 将 对 每 一 个 接收 到 的 包 进 行 分 析 ， 通 过 匹配 过 滤 规 则 ， 做 出 允许 或 拒绝 的 决定 。 
过 滤 规 则 匹配 的 主要 是 IP 数据 报 的 报头 信息 ， 包 括 : 源 耳 地 址 、 目 的 人 P 地 址 、 协 议 类 型 (TCP 
包 、UDP 包 、ICMP 包 )、 源 端口 、 目 的 端口 等 报头 信息 。 当 数据 包 通 过 防火 墙 时 ， 会 逐个 检测 每 
一 条 规则 ,一 旦 有 信息 匹配 成 功 , 就 会 按照 过 滤 规 则 进行 转发 , 或 者 丢弃 。 如 果 没有 规则 和 数据 包 
匹配 ， 防 火 墙 会 采用 默认 规则 ， 一 般 默认 丢弃 所 有 不 匹配 数据 包 。 

包 过 滤 防 火 墙 需 要 处 理 数据 包 的 IP 信息 和 TCP/UDP 信息 来 匹配 规则 ， 所 以 它 工 作 在 网 络 层 
和 传输 层 。 和 代理 服务 器 相 比 ， 它 只 需要 将 数据 包 拆 到 第 四 层 ， 处 理 速度 要 快 一 些 。 对 于 网 络 攻击 
单一 ， 威 胁 一 般 的 中 小 网 络 比 较 适 用 。 而 对 基于 应 用 层 的 威胁 不 能 做 出 反应 ， 所 以 在 安全 级 别 较 高 
的 网 络 中 不 建议 选择 。 

同时 ， 包 过 滤 防 火 墙 在 价格 上 一 般 比 代理 防火 墙 便宜 ， 也 适合 中 小 企业 使 用 。 

当然 ， 包 过 滤 防火 墙 也 存在 一 些 问 题 。 首 先 ， 它 只 能 过 滤 到 端口 ， 却 无 法 分 析 数 据 内 容 ， 利 
用 安全 端口 隐藏 攻击 的 数据 包 无 法 过 滤 。 其 次 ， 网 络 环境 比较 复杂 的 情况 下 ， 网 络 管理 员 需 要 配置 
的 访问 规则 将 会 很 复杂 ， 不 利于 管理 。 
2. 状态 检测 防火 墙 


状态 检测 防火 墙 是 传统 包 过 滤 防 火 墙 的 功能 扩展 ， 除 了 有 包 过 滤 功 能 外 ， 还 可 以 抽取 数据 包 
和 应 用 层 状 态 相关 的 信息 , 并 以 此 为 依据 决定 是 否 允 许 数据 包 通过 。 能 够 实现 该 功能 主要 是 依靠 状 
态 检 测 防火 墙 内 部 的 一 个 不 需要 配置 、 自 动产 生 的 状态 表 。 状 态 表 规定 了 允许 的 源 PP 地 址 和 目的 
IP 地 址 、 源 端口 和 目的 端口 、 数 据 包 的 TCP 序列 号 和 标志 位 等 信息 。 

状态 检测 防火 墙 除了 拥有 包 过 滤 防 火 墙 的 优点 外 ， 它 对 应 用 也 是 透明 的 ， 且 在 安全 性 上 做 了 
较 大 幅度 的 提升 。 防 火 墙 接收 到 数据 包 后 ， 首 先 会 逐个 检测 过 滤 策 略 ， 如 果 没 有 策略 允许 通过 ， 该 
数据 包 被 丢弃 ， 如 果 有 人 允许 策略 匹配 ， 数 据 包 将 被 接受 ， 并 建立 连接 状态 ， 后 续 数据 包 以 此 连接 状 
态 为 标准 进行 匹配 ， 一 致 则 被 转发 ， 不 一 致 被 丢弃 。 
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整体 来 看 ， 状 态 检 测 防 火 墙 具有 安全 性 高 、 性 能 好 、 扩 展 性 好 、 配 置 方便 等 优点 ， 所 以 这 类 
防火 墙 应 用 比较 广泛 。 但 是 状态 检测 防火 墙 和 包 过 滤 防 火 墙 一 样 , 依然 只 是 检测 数据 包 的 网 络 层 和 
传输 层 信息 ， 不 能 分 析 更 高 层次 的 数据 ， 对 于 隐藏 在 应 用 层 的 攻击 无 法 进行 阻止 。 

3. 应 用 代理 型 防火 墙 


应 用 代理 型 防火 墙 也 叫 应 用 层 网 关 防 火 墙 。 这 种 防火 墙 通过 在 TCP 连接 中 加 入 一 种 Proxy ( 代 
理 ) 技术 的 方式 实现 安全 隔离 。 从 网 络 内 部 发 出 的 数据 包 ， 在 经 过 防火 墙 后 , 会 被 处 理 成 以 防火 墙 
外 部 网 卡 为 源 的 数据 包 ， 这 样 可 以 达到 隐藏 内 网 环境 的 作用 。 

应 用 代理 型 防火 墙 在 实现 代理 转发 的 过 程 中 ， 会 对 数据 包 的 应 用 层 数据 作出 分 析 ， 安 全 级 别 
远 远 高 于 前 两 种 防火 墙 。 到 目前 为 止 ， 这 类 防火 墙 也 是 公认 的 最 安全 的 防火 墙 。 


14.1.3 ”防火 墙 联网 模型 

有 了 防火 墙 之 后 ， 又 当 如 何 连接 呢 ? 这 是 在 防火 墙 部 署 过 程 中 最 重要 的 设计 内 容 。 直 接 影响 
到 整个 网 络 的 应 用 和 安全 性 。 下 面 详细 介绍 4 种 常用 的 防火 墙 联网 模型 。 

1. 双向 边缘 防火 墙 联网 模型 


这 类 防火 墙 联 网 模型 比较 简单 ， 只 要 防火 墙 具 备 两 个 接口 就 可 以 实现 ， 通 常 适用 于 中 小 企业 ， 
如 图 14-1 所 示 。 


es / 


了 ee 内 网 服务 器 、\ 
/ ”外 部 网 络 、 
/ (不 安全 区 域 》 \ \ 
1 内 部 网 络 。 1 
\ 《安全 区 域 》 | 
N 
7 
内 网 客户 机 / 
/ 
\ / 
7 


图 14-1 
2. 带 有 DMZ 区 的 3 向 防火 墙 联网 模型 


这 类 防火 墙 联网 模型 在 双向 边缘 防火 墙 基础 上 增加 了 一 个 独立 的 DMZ 隔 离 区 )， 该 区 域 用 
于 放置 对 外 网 公开 发 布 的 服务 器 ， 如 企业 WEB 服务 器 、 邮 件 服务 器 等 。DMZ 区 的 意义 在 于 ， 当 
外 部 网 络 访问 企业 网 站 时 ， 只 能 访问 到 DMZ 区 ， 而 不 能 访问 内 部 网 络 ， 相 当 于 一 个 外 部 不 安全 区 
域 和 内 部 安全 区 域 的 缓冲 区 , 相 比 把 服务 器 和 内 网 客户 机 放置 在 同一 区 域 安全 了 很 多 。 通 过 这 样 一 
个 DMZ 区 域 ， 更 加 有 效 地 保护 了 内 部 网 络 的 安全 。 

部 署 这 类 防火 墙 联网 模型 比较 复杂 ， 防 火 墙 本 身 必须 支持 DMZ 区 功能 并 且 有 可 用 的 DMZ 接 
口 ， 如 果 是 软件 防火 墙 ， 系 统 平台 至 少 也 要 有 三 个 网 卡 接口 ， 如 图 14-2 所 示 。 


中 小 型 企业 网 络 管 理 突 战 室 典 -基于 Windows 平台 


2 和 

\ 

ms DMZ 区 域 | 

” \ 所 攻 

/” 外 部 网 络 、、、、 2 
1 (不 安全 区 域 ) 、 2- __ 二 


、 内 网 客户 机 x 
RS 


3. 前 后 端 防火 墙 联网 模型 


前 后 端 防火 墙 联网 模型 和 带 有 DMZ 区 的 3 向 防火 墙 联网 模型 比 起 来 略 有 些 复杂 ， 将 DMZ 区 
独立 于 两 个 防火 墙 之 间 ， 如 图 14-3 所 示 。 这 样 部 署 会 使 内 部 安全 网 络 和 外 部 的 不 安全 网 络 实现 物 
理 隔 离 ， 更 好 的 保证 内 外 网 通信 安全 。 


， 外 部 网 络 “、、 
(不 安全 区 域 》 ) 


前 端 防火 墙 


后 器 防 火 塔 二 入 一 一 一 一 一 一 ~- a 
ss 
Sy 
内 部 网 络 。 】 
w 
~、 内 网 客户 机 a 
图 14-3 


4. 高 可 用 的 防火 墙 联网 模型 

高 可 用 的 防火 墙 联网 模型 ， 由 两 个 防火 墙 同时 进行 隔离 、 过 滤 、 转 发 工作 。 通 信 工 作 由 两 个 
防火 墙 分 担 进行 ， 提 高 了 工作 效率 。 如 果 有 一 个 防火 墙 出 现 了 故障 ， 另 一 个 防火 墙 依然 可 以 正常 工 
作 , 提高 了 网 络 的 可 用 性 。 这 类 防火 墙 联网 模型 一 般 适 用 于 对 性 能 和 可 用 性 要 求 比较 高 的 大 中 型 网 
络 ， 以 及 一 些 特殊 的 中 小 型 网 络 。 

这 类 防火 墙 联网 模型 部 署 起 来 相对 比较 复杂 ， 不 但 在 配置 上 比较 复杂 ， 对 设备 的 硬件 要 求 也 
比较 高 ， 特 别 是 接口 数量 ， 需 要 有 足够 的 接口 做 元 余 连 接 ， 如 图 14-4 所 示 。 
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外 部 网 络 。 
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入 、 内 部 网 络 〈 安 全 区 域 ) 
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图 14-4 


14.1.4 产品 选 型 


企业 防火 墙 在 网 络 环境 的 安全 管理 系统 中 分 量 很 重 ， 一 般 的 企业 在 设计 网 络 安全 方案 时 ， 首 
先 考虑 的 就 是 增加 防火 墙 。 但 是 不 同 的 企业 , 选择 防火 墙 时 有 所 差异 。 防火 墙 并 不 是 越 高 端 就 越 好 ， 
需要 结合 网 络 的 自身 情况 ， 需 要 考虑 的 因素 有 以 下 几 点 。 

1. 类 型 

防火 墙 有 很 多 分 类 ， 有 硬件 防火 墙 、 软 件 防火 墙 、 代 理 防 火 墙 、 包 过 滤 防 火 墙 等 多 种 类 别 ， 
首先 要 选择 的 就 是 类 型 。 一 般 中 小 企业 使 用 最 多 的 是 包 过 滤 和 状态 检测 防火 墙 , 代理 防火 墙 在 安全 
性 要 求 较 高 的 大 型 网 络 中 使 用 比较 多 。 

2. 性 能 


不 同 的 产品 其 性 能 差异 很 大 ， 一 般 硬 件 防火 墙 比 软件 防火 墙 在 稳定 性 上 要 好 很 多 ， 因 为 硬件 
防火 墙 不 会 受 系统 漏洞 的 影响 。 同 时 ， 选 择 时 应 注意 大 厂商 的 产品 稳定 性 比 小 牌 企业 好 很 多 。 

除 此 之 外 ， 还 要 比较 其 性 能 能 参数 是 否 符合 企业 需求 ， 主 要 性 能 指标 有 : 过 滤 方 式 、 地 址 绑 
定 、 访 问 控 制 、 代 理 服务 、 带 宽 支持 、 地 址 转换 、 日 志 功 能 、 路 由 功能 、 认 证 功能 、 邮 件 认证 等 。 

3. 联网 模型 


根据 企业 业务 需求 ， 可 能 会 实施 不 同 的 联网 模型 ， 但 并 不 是 所 有 防火 墙 都 可 以 支持 各 类 联网 
模型 的 使 用 ， 如 果 要 架设 双核 心 、 高 可 用 性 防火 墙 模型 的 话 ， 防 火 墙 的 网 络 接口 数量 要 求 有 很 多 ， 
又 比如 需要 架设 带 DMZ 区 的 三 向 防火 墙 ， 就 必须 要 能 够 支持 DMZ 功能 的 。 

4. 网 络 管理 水 平 

选择 防火 墙 时 还 需要 考虑 当前 网 络 管理 员 的 管理 能 力 ， 并 不 是 品牌 好 、 性 能 好 、 服 务 好 就 能 
起 到 作用 ， 还 需要 网 络 管理 员 使 用 好 。 有 些 防火 墙 配置 起 来 需要 较 高 的 技术 水 平 ， 比 如 Cisco 的 
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ASA 防火 墙 ， 如 果 不 了 解 其 应 用 原理 和 配置 命令 ， 操 作 起 来 很 难 。 而 像 SA Server 2006 软件 防火 
墙 ， 虽 然 也 比较 高 端 ， 但 是 其 Windows 下 的 全 中 文 窗口 配置 界面 环境 使 得 管理 员 很 容易 操作 。 


5. 价格 


有 些 企业 在 选择 防火 墙 时 考虑 价格 因素 比较 多 ， 虽 然 碍 于 企业 经 济 实力 不 得 不 考虑 ， 但 是 最 
好 将 其 放 到 最 后 一 位 。 如 果 一 个 企业 虽 小 ， 但 是 其 所 有 业务 都 和 服务 器 的 应 用 程序 和 数据 库 有 关 ， 
一 味 的 顾虑 价格 ， 很 可 能 降低 数据 的 安全 性 保障 。 

通常 使 用 比较 多 的 防火 墙 有 ISA Server 2006、Cisco ASA、 天 融 信 、H3C、 飞 塔 、 启 明星 辰 
等 。 如 果 使 用 软件 防火 墙 ， 可 以 使 用 ISA Server 2006; 如 果 使 用 硬件 防火 墙 ， 则 可 以 考虑 国产 
的 几 款 产品 。 


14.2 项 目 实施 1: 架设 1SA 企业 防火 墙 


ISA Server 2006 是 微软 公司 的 一 款 防 火 墙 产 品 ， 很 多 中 小 企业 都 在 使 用 ， 下 面 详细 介绍 ISA 
企业 防火 墙 的 环境 搭建 与 配置 。 


14.2.1 ”模拟 企业 网 络 搭建 实验 环境 


ISA 企业 防火 墙 是 安装 在 Windows 系统 内 的 软件 防火 墙 ， 下 面 在 Windows Server 2003 环境 下 
搭建 其 模拟 实验 环境 。 


1.1SA 企业 防火 墙 安装 配置 要 求 
ISA 防火 墙 处 于 网 络 的 关键 位 置 , 需要 保证 其 运行 环境 的 稳定 性 , 所 以 服务 器 需要 满足 一 定 的 
配置 要 求 ， 详 细 要 求 如 表 14-2 所 示 。 


表 14-2 
操作 系统 Windows server 2003 32 位 操作 系统 
处 理 器 装 有 733MHz Pentium IIL 或 更 高 的 处 理 器 


至 少 150MB 可 用 空间 ， 分 区 为 NTFS 格式 分 区 ; 运行 时 需要 更 多 额外 空间 保存 


硬盘 Web 高 速 缓存 等 内 容 
内 存 至 少 512MB， 建 议 使 用 更 大 容量 


其 他 网 络 适配器 根据 联网 模型 进行 配备 ， 键 盘 、 显 示 器 、 鼠 标 、 光 驱 等 普通 配置 即 可 


【分 以 上 配置 要 求 只 是 最 低 性 能 标准 ， 如 果 网 络 通信 业务 量 比较 大 ， 建 议 使 用 更 高 的 系统 
配置 。 
提 示 

2. ISA 企业 防火 墙 环 境 部 署 


在 介绍 ISA 企业 防火 墙 的 配置 内 容 时 ， 以 图 14-5 联网 方式 进行 讲解 。 主 要 由 四 台 虚 拟 机 进行 
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外 网 接口 (WAN) DMZ 接 口 
202.102.1.100 192.168.100.1/24 


1SA 防 火 境 内 网 接口 (LAN) 


192.168.0.1/24 企业 对 外 发 布 服务 器 


WEB/DNS/FTP/MAIL 
192.168.100.100/24 


企业 内 网 服务 器 /客户 机 


外 网 服务 器 /客户 机 192.168.0.200 


WEB/DNS/MAIL 
202.102.1.200 


图 14-5 


C7 本 实例 只 做 ISA 企业 防火 墙 的 配合 ， 内 网 、 外 网 、DMZ 区 的 服务 器 和 客户 机 不 做 配 
置 讲解 。 


提 示 
14.2.2 ”安装 1SA 2006 防火 墙 
在 使 用 ISA 2006 防火 墙 之 前 ， 需 要 先 安装 其 应 用 程序 ， 有 具体 的 操作 步骤 如 下 。 


0 将 ISA 2006 安装 光盘 放 入 光驱 内 ， 系 统 读 取 光 盘 内 容 ， 弹 出 【Microsoft ISA Server 2006 
安装 程序 】 对 话 框 ， 单 击 【安装 ISA Server 2006】 选项 ， 如 图 14-6 所 示 。 


internet Security & 
Acceleration Server2006 


Enterprise 


i023 弹出 【欢迎 使 用 Microsoft ISA Server 2006 的 安装 向 导 】 对 话 框 ， 如 图 14-7 所 示 ， 单 击 
【下 一 步 】 按 钮 。 
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本 erosoft TS4 Server 2006 的 实 半 向 


图 14-7 


tQ3j 弹出 【许可 协议 〗 对 话 框 ， 选 择 【 我 接受 许可 协议 中 的 条 款 】 单 选 按钮 ， 如 图 14-8 所 示 ， 
单 击 【下 一 步 】 按 钮 。 


MICROSOFT INTERNET SECURITY AND 
CCELERATION SERVER 2006 STANDARD AND 

ENTERPRISE EDITIONS 

| 本 许可 箱 款 是 Microsoft Corporation (或 您 所 在 地 的 Microsoft Corporation 关联 

| 公司 ) 与 您 之 闻 达 成 的 协议 。 请 阅读 本 条 款 的 内 容 。 本 条 款 适 用 于 上 述 软 件 ， 其 到 | 


6 时 按 英 评 二 坊 议 下 的 亲友 


图 14-8 


t@Q 毕 弹出 【客户 信息 】 对 话 框 , 在 其 中 输入 匹配 信息 及 产品 序列 号 , 如 图 14-9 所 示 , 单 击 【 下 
一 步 〗 按 钮 。 


osoft ISA Server 2006 -安装 痛 导 FE | 


《上 - 步 四 到 


图 14-9 
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5 弹出 【安装 方案 〗 对 话 框 ， 选 择 【同时 安装 ISA Server 服务 和 配置 存储 服务 器 〗 单 选 按 


钮 ， 如 图 14-10 所 示 ， 单 击 【下 一 步 】 按 钮 。 


已 Wicreseft ISA Server 2006 ”安装 痛 导 


9 ISh Server 
计算 机 格 成 为 ISA 服务 器 阵列 成 员 之 一 并 用 于 存储 企 业 阴 置 . 


个 安装 ISA 服务 器 管理 全) 
计算 机 格 用 于 远程 管理 ITSA 服务 器 企业 


《上 一 步 呈 ) 取消 


图 14-10 


tQ6j 弹出 【组 件 选择 】 对 话 框 ， 默 认 选 择 安装 所 有 组 件 ， 单 击 【 更 改 】 按 钮 ， 如 图 14-11 所 


示 ， 可 以 改变 程序 的 安装 目录 位 置 ， 本 实例 采用 默认 配置 ， 单 击 【 下 一 步 〗 按 钮 。 


间 ieresoft ISA Server 2006 = 安装 向 时 | 
租 件 选择 
将 安装 过 定 功能 ， 


单 击 列 表 中 的 图 标 显示 或 修改 功能 的 安装 方式 。 


= 
了 | ISA 服务 器 答 理 
"| 配置 存储 服务 器 


Ci\Program Files\Microsoft ISA Server\ MG 


WW | Fas) | ‘tS 取 削 


图 14-11 


tQ3 弹出 【企业 安装 选项 〗 对 话 框 ， 由 于 初次 搭建 ISA 防火 墙 ， 所 以 选择 【创建 新 ISA 服务 


器 企业 】 单 选 按 钮 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 14-12 所 示 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


mm | 
图 14-12 


t@8j 弹出 【新 建 企业 警告 〗 对 话 框 ， 如 图 14-13 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


介 micresoft ISA Server 2006 - 安装 阿 号 划 | 
新 建 全 业 警告 
此 计算 机 禁 配 置 为 新 配置 存储 服务 器 。 


7 ， 请 单 击 “ 上 一 步 " 并 


加 果 这 是 组 织 中 的 第 一 个 肝 置 存储 职务 器 ,清单 击 “ 下 一 步 ”继续 。 


图 14-13 


I09) 弹出 【内 部 网 络 〗 对 话 框 ， 单 击 【 添 加 】 按 钮 ， 如 图 14-14 所 示 ， 指 定 ISA 内 部 网 络 的 
地 址 范围 。 


内 部 网 络 
指定 要 包括 在 ISA 服务 器 内 部 网 络 中 的 地 址 范围 。 


单 击 “ 添 加 ”指定 网 络 地 址 范围 。 Er - ] 
内 部 网 络 地 址 范围 从 -到 ); | 


DD 有 关 详细 信息 ， 请 参阅 安装 指南 。 


XL= 步 ozOD | 


图 14-14 


蜡 Qj 弹出 【地 址 〗】 对 话 框 ， 可 以 单 击 【添加 适配器 】 按 钮 指定 内 部 网 卡 ， 也 可 以 单 击 【添加 


“336。 
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范围 】 按 钮 指定 内 部 网 络 地 址 范围 ， 本 实例 选择 指定 内 部 网 卡 ， 如 图 14-15 所 示 。 


图 14-15 
蝇 划 弹出 【选择 网 络 适配器 〗 对 话 框 ， 在 【网 络 适配器 〗 窗 格 中 显示 了 服务 器 的 三 块 网 卡 ， 
选择 【LAN 复 选 框 ， 在 【网 络 适配器 详细 信息 】 窗 格 中 显示 出 LAN 网 卡 的 详细 信息 ， 如 图 14-16 
所 示 ， 单 击 【确定 】 按 钮 。 
x 


图 14-16 


加 2 返回 【地 址 】 对 话 框 ， 地 址 范围 添加 完成 ， 单 击 【 确 定 】 按 钮 ， 如 图 14-17 所 示 。 


中 小 蜡 企 业 网 络 管 理 实战 委 典 基于 Windows 平台 


| 
这 些 是 在 此 网 络 中 包括 的 IP 地 址 范围 。 
192.168.0.0 192. 168.0. 255 
we | mw | 
图 14-17 


电 吧 返回 【内 部 网 络 】 对 话 框 ， 在 【内 部 网 络 地 址 范围 】 窗 格 中 显示 内 部 地 址 范围 ， 单 击 【 下 
一 步 】 按 钮 ， 如 图 14-18 所 示 。 


指定 要 包括 在 ISA 最 务 器 内 名 网 络 中 的 地 址 范围 . 


单 击 “ 更 收 ” 编 辑 或 志 加 地 址 范围 。 区 下 一 | 
内 部 网络 地 址 范围 从 -到 ); 
192. 169, 0. 0-192. 168.0.255 


(i 有 关 洋 细 信息， 请 参 阅 安装 指南 。 


《 上 一 步 邓 ) Ff- 步 WD > 取消 
图 14-18 


加 绅 弹出 【防火 墙 客户 端 连接 】 对 话 框 ， 该 对 话 框 主要 设置 ISA 对 老 版 本 系统 客户 端的 兼容 ， 
本 实例 采用 默认 配置 ， 如 图 14-19 所 示 ， 单 击 【 下 一 步 】〗 按 钮 . 


间 Wieresoft ISA Server 
防火 寺 帮 户 莹 连接 
指定 TSA Server 2006 是 再 村 接受 末 自 不 支 苇 加 克 的 防火 培 才 户 篇 的 连接 


束 区 .2006 利生 Firerall Client EE 及 更 高 版 本 的 计算 机 的 防火 


ee 


ts [下 5 加 > ] Ww 


图 14-19 


0 
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加 5 弹出 【服务 警告 〗 对 话 框 ， 部 分 系统 程序 会 影响 ISA 程序 的 安装 ， 需 要 在 安装 ISA 时 将 
这 些 服 务 重新 启动 ， 单 击 【下 一 步 】 按 钮 ， 如 图 14-20 所 示 。 


soft IISi 


图 14-20 
蜡 g 弹出 【可 以 安装 程序 了 】〗 对 话 框 ， 单 击 【安装 】〗】 按 钮 ， 如 图 14-21 所 示 。 


民 


图 14-21 
因 本 系统 依照 配置 自动 安装 程序 ， 安 装 完成 后 弹出 【安装 向 导 完成 〗 对 话 框 ， 如 图 14-22 所 
示 ， 单 击 【 完 成 】 按 钮 ， 至 此 ISA 2006 已 经 安装 成 功 。 


y nnd Ace 


图 14-22 


(Lo 
CD 
[eo] 


中 小 蜡 企 业 网 络 管 理 实战 室 典 基于 Windows 平台 


14.2.3 添加 DMZ (隔离 区 ) ， 改 变 ISA 联网 模式 


DMZ 区 作为 对 外 发 布 服务 器 的 位 置 ， 需 要 连 入 ISA 防火 墙 但 是 默认 安装 完 ISA 防火 墙 后 ， 
并 没有 添加 DMZ 区 的 网 卡 ， 若 想 要 把 DMZ 区 网 络 加 入 ISA 防火 墙 ， 需 要 手动 添加 。 

添加 DMZ 区 域 的 具体 操作 步骤 如 下 。 

I01 选择 【开始 】〗 关 【程序 】 关 【Microsoft ISA Server】〗>【ISA 服务 器 管理 〗】 菜 单 命令 ， 
如 图 14-23 所 示 ， 运 行 ISA 防火 墙 。 


indors cutuoe 
DD Vindovs update 


图 14-23 


W023 打开 程序 主 界面 ， 在 左 侧 选 项 列表 中 选择 【阵列 〗】> 【aa-6db32af13796】>【 配 置 】> 
【网 络 】〗 选 项，“aa-6db32af13796” 为 本 地 服务 器 计算 机 名 ， 右 侧 显示 出 当前 ISA 防火 墙 采用 的 
是 【边缘 防火 墙 】 部署 结 构 ， 在 右 侧 【模板 〗 选 项 卡 中 显示 了 可 用 ISA 部 署 结构 ， 单 击 【3 向 外 转 
网 络 】〗 选 项 ， 如 图 14-24 所 示 。 


ee 人 有 帮助 M0 


提 字 | 四 | 加 | 国 加 | 外 四 


gr 
和 配置 丰 站 服务 器 -0b3zaf13T96 


[3 
EE sredbaestlyrg 


可 防火 境 策 略 laar6ah32af 
-i OPN) EE 
日 兴 了 时 
天 服 备 器 边锋 防 火 墙 
二 p/p 


的 名 和 @<) 


es 


= | we 名 。 当 在 受 保 
生 被 涡 高 的 PN 才 户 请 此 同 续 当 前 没有 分 配 I 本 地 一 道 防 火 声 时， 请 使 用 此 选项 ， 
1 ee ; 到 
I I L 
图 14-24 


3) 弹出 【网 络 模板 向 导 】 对 话 框 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 14-25 所 示 。 
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你 选择 了 三 向 外 围 网 络 模板 (也 称 为 NZ ， 


外 | 
区 癌 )。 此 向 导 格 帮 助 您 配置 | 
六 


图 14-25 


0 和 弹出 【导出 ISA 服务 器 的 配置 】 对 话 框 ， 如 果 担 心 当前 ISA 服务 器 丢失 ， 可 以 单 击 【 导 
出 】 按 钮 将 现 有 配置 导出 保存 ， 如 图 14-26 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


ET | 


导出 ISA 服务 器 的 配置 
使 用 此 导出 功能 ， 备 份 当前 ISA 服务 器 的 配置 


更 改 网 络 配 置 格 绰 善 当前 的 网 络 孔 置 和 防火 墙 第 略 规则 。 


《< 上 一 步 @)| 下 一步 如 | 取消 


图 14-26 

tog 弹出 【内 部 网 络 IP 地 址 】〗 对 话 框 ， 安装 防火 墙 时 此 项 配置 已 经 操作 ， 如 图 14-27 所 示 ， 
单 击 【 下 一 步 〗 按 钮 。 

划 

内 部 网 络 IP 


a 村 所 地 J? 地 址 范围 、 与 此 网 卡 关联 的 


六 加 计 也 别 久  j 
192. 168.0.0 192. 168. 0 255 
后 E) 
到 


《< 上- 步 ®)| 下 一 步 D 十 取消 


图 14-27 


中 小 蜡 企 业 网 络 管 理 实战 生 典 基于 Windows 平台 


gj 弹出 【外 围 网 络 卫 地址 】 对 话 框 ，“ 外 围 网 络 ”就 是 “DMZ 区 ”， 单 击 【 添 加 适配器 】 
按钮 ， 如 图 14-28 所 示 。 
可 


的 起 鼎 廊 Tb 加 王 地 址 范围 、 与 此 网 卡 关联 的 
亚 范围。 


全 业 网 络 - 


添加 网 络 加 


《上 一 步 @)| 下 一 步 中 > 取消 
图 14-28 
罗 辐 弹出 【选择 网 络 适 配器 〗 对 话 框 ， 在 【网 络 适配器 】 选 项 列表 中 选择 【DMZ】 复 选 框 ， 


如 图 14-29 所 示 ， 单 击 【 确 定 】 按 钮 。 


了 可 
en 


网 络 适配器 (在 所 有 阵列 成 员 上 ): 


图 14-29 


I08j 返回 【外 围 网 络 IP 地 址 】 对 话 框 ， 在 【地 址 范围 】 窗 格 中 显示 DMZ 区 的 网 络 地 址 范 
围 ， 如 图 14-30 所 示 ， 单 击 【 下 一 步 〗 按 钮 . 
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ET x 


外 围 网 络 I 地 址 
请 指定 此 再 二 这 wo 与 此 网 卡 关联 的 
节 地 址 ?6l 用 IP 范围 . 


a 192. 168. 100 255 a 


《上 一 步 @)| 下 一 步 中 | 取消 


图 14-30 


9 弹出 【选择 一 个 防火 墙 策略 〗 对 话 框 ， 在 此 可 以 选择 防火 墙 默认 使 用 的 控制 策略 ， 一 般 
选择 【阻止 所 有 访问 〗 选 项 ， 如 图 14-31 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


EEEEEB 划 | 
选择 一 个 防火 墙 策略 
请 过 择 黑 认 防火 坟 征 咯 ， 应 用 于 模板 中 指定 的 网 络 。 


选择 一 个 防火 墙 策略 


局 阻止 Internet 访问 ， 区 许 访问 外 围 网 络 的 网 络 服务 
区 阻止 Internet 访问 ,区 许 访问 ISP 网 络 服务 
允许 有 限 的 fab 访问 

式 刀 许 有 限 的 Yeb 访问 ;允许 访 问 外 图 网 络 的 同 络 服务 一 


阻止 所 有 访问 


ISA 服务 器 的 所 有 网 络 访问 。 
| 此 选项 只 他 对 阻止 所 有 访问 的 默认 规则 。 
悠 要 自己 定义 防火 墙 第 略 时 ,请 使 用 此 选项 。 


《上 一步 @)[ 下 一 步 如 > 取消 


图 14-31 


电 gj 配置 完成 ， 在 弹出 的 对 话 框 中 显示 了 新 ISA 部 署 结 构 的 配置 信息 ， 如 图 14-32 所 示 ， 单 
击 【 完 成 】 按 钮 。 


EEEEEB I 
正在 完成 网 络 模板 向 导 
| & 您 已 成 功 守成 了 网 络 和 模板 向 导 。 网 络 配 置 和 第 咯 规 则 
创 尘 以 下 网 络 a 
内 部 
192. 168.0.0 - 192. 168. 0. 255 
外 图 
| 本 192 168 100.0 ~ 192. 168. 100.255 
应 用 以 


到 局 昌 ” 四 


要 关闭 此 向 导 ， 请 单 击 “ 完 成 ”。 


<Eso[ 和 | 


图 14-32 


中 小 型 企业 网 络 管 理 实战 委 典 基于 Windows 平台 


加 昌 在 ISA 程序 主 界面 显示 了 调整 后 的 部 署 结构 图 ， 单 击 【应 用 】 按 钮 ， 应 用 本 次 修改 ， 如 
图 14-33 所 示 。 


文 御 四。 指 作 内 查看 四 帮助 中 
全 二 | 外国 | 
EL 


-加 防火 墙 策略 (sa-6db32sf 
局 虚拟 专用 网 络 WD 
日 闫 配置 


边缘 防 
火 培 


将 网 络 连 接 到 Internet 并 防 
止 网 络 受 到 入 侵 。 


己 VPW 客户 端 此 网 络 当前 设 有 分 配 IP 


必 内 部 砚 192. 168.0.0 - 192.168.0. 
态 外 围 码 192.168. 100.0 - 192. 168. 
吉本 地 主机 没有 I 了? 地 址 与 此 网 络 关联 。 
心 被 隔 高 的 YPN 客户 六 此 网 络 当前 设 有 分 配 IP 
LU 1 J | mm 加 
完毕 了 
图 14-33 


民间 弹出 【正在 保存 配置 更 改 〗 对 话 框 ， 保 存 完成 后 ， 单 击 【确定 】〗 按 钮 ， 如 图 14-34 所 示 。 


加 多、 请 检查 配置 状 老 ， 确 定 更 改 应 用 确定 


【TILLLILLLILLLLLLLLLLLLLLLLD 
应 用 到 阳 置 的 更 2 不 影响 现 有 的 霹 户 呈 各 拉 


图 14-34 
恒 旨 配置 保存 后 并 不 能 马上 生效 ，ISA 服务 器 配置 需要 和 存储 配置 服务 器 同步 ， 在 左 侧 选 项 
列表 中 选择 【监视 】〗 选 项 ， 在 右 侧 窗 格 中 选择 【配置 】〗 选 项 卡 ， 刚 应 用 的 配置 尚未 同步 ， 单 击 右 侧 
【任务 】 选 项 卡 的 【现在 刷新 】〗 按 钮 ， 如 图 14-35 所 示 ， 可 以 马上 完成 配置 同步 。 
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正在 览 视 aa-6db32af13796 


阵列 
ES eaazstlarse 
Ee 


局 虚拟 专用 网 络 WPN) 


日 活 配 置 
国 服 务 器 
二 网络 
多 楼 存 
-插件 


目 窜 坑 


图 14-35 


除了 使 用 以 上 方法 更 换 新 的 部 署 结构 外 ， 也 可 以 通过 在 现 有 部 署 结构 上 直接 增加 “新 网 络 ” 
的 方式 ， 完 成 DMZ 区 的 添加 ， 具 体操 作 步 又 如 下 。 


io 在 左 侧 选 项 列表 中 选择 【阵列 】>【aa-6db32af13796】>【 配 置 】> 【网络 】 选 项 ， 单 
击 右 侧 【任务 】〗 选 项 卡 下 的 【创建 一 个 新 的 网 络 〗 选 项 ， 如 图 14-36 所 示 。 


icrosoft Internet Security and Acceleration Server 2006 
文件 四。 操作 人 ) 查看 W 帮助 0D 
所 避 | 斩 | 四 | 芍 国 日 中 外 
国 Wierosoft Internet Secor 国 E 
Internet Security & 9 = 
由 | 二 erhet EGUEY 2006 配置 存储 服务 器 : se-6ab32af13796 
日 励 sr6aba2zafl3796 


ET 
创建 一 个 新 的 网 络 ”ee 下 于 一 
二 | 相关 任务 


E 了 


全 所 用 网 络 负载 平衡 集成 
链接 到 VPN 配置 页 
斩 指定 所 号 首选 项 
习 创建 网 络 规则 

此 网 络 当前 没有 分 配 IF 中。 @ 导出 现 有 网 络 
而 192.168.0.0 - 192.168.0 A 


二 192.168.100.0 - 192.168... 


图 14-36 


to3 弹出 【新 建 网 络 向 导 】 对 话 框 ， 在 【网 络 名 】 文 本 框 中 输入 “DMZ” ， 如 图 14-37 所 示 ， 
单 击 【下 一 步 】 按 钮 。 


中 小 型 企业 网 络 营 理 实战 笃 典 一 一 上 于 Windows 平台 


| 
欢迎 使 用 网 络 创建 向 导 


iarosofr 


joterpet Socity ee 
人 


图 14-37 


3) 弹出 【网 络 类 型 】 对 话 框 ， 选 择 【 外 围 网 络 】〗 单 选 按钮 ， 如 图 14-38 所 示 ， 单 击 【下 一 


步 】〗 按 钮 。 


新 建 同 络 向 导 


网 络 类 型 
请 指定 您 要 定义 的 网 络 类 型 


三 内 部 网 络 CD) 
内 部 网 结 包含 ISA 服务 器 要 保护 的 客户 病 寺 算 机 
6 
Eerie Internet 的 服务 器 。 它 通 第 不 象 内 部 网 络 那 祥 受到 信 
个 YPN 点 对 点 网 络 CD) 
WPN 点 对 点 网 络 代表 在 远程 站 点 的 网 络 ， 通 过 VPN 链接 进行 连接 。 
三 外 部 网 络 了 ) 
We 例如 Internet。ISA 服务 器 有 一 个 默认 外 部 网 


kk 


+t-sw[F-sm] mw | 


图 14-38 


0 弛 弹出 【网 络 地址 】 对 话 框 ， 单 击 【 添 加 适配器 】 按 钮 ， 选 择 DMZ 
14-39 所 示 。 


新 建 同 络 向 导 x 
网络 地 址 
指定 这 个 网 络 包括 的 IF 地 址 范围 。 


者 


添加 专用 地 址 下) 
EE gw | 


添加 网 络 四 


《上 一 步 @)| 下 一 步 中 > 取消 


图 14-39 


区 连接 的 网 卡 ， 如 图 
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0@! 以 下 操作 步骤 与 第 一 种 操作 方法 美 似 ， 这 里 不 再 详细 描述 。 
提 


站 


14.3 项 目 实施 2: 利用 1SA 控制 员工 上 网 


由 于 工作 需求 ， 很 多 企业 对 员工 的 上 网 行为 都 有 所 约束 ， 特 别 是 像 QQ 空间 、 开 心 网 、 迅 雷 
看 看 等 娱乐 型 的 网 站 ， 都 会 影响 到 员工 的 工作 效率 。 因 此 ， 在 架设 ISA 防火 墙 时 ， 必 须要 准确 控 
制 员工 的 上 网 行为 ， 具 体 控 制 方法 及 内 容 有 以 下 几 点 。 
14.3.1 允许 员工 访问 互联 网 


由 于 业务 需求 ， 员 工 必 须要 有 一 定 的 网 络 访问 权限 。 一 般 访问 网 络 需 要 开启 HTTP、DNS、 
POP3、SMTP 等 服务 ， 具 体操 作 步 又 如 下 。 


风 划 打开 程序 主 界面 ， 在 左 侧 选项 列表 中 选择 【防火 墙 策略 】〗】 选 项 ， 在 右 侧 【任务 】 选 项 卡 
中 选择 【创建 访问 规则 ]〗 选 项 ， 如 图 14-40 所 示 。 


Miaotote 
内 er os 配置 存 外 服务 器 - -6ab32sf13796 防火 培 策 略 (ss-6abh32af13796) 
Ce 


防火 墙 策略 任务 

司 发 布 Exchange Web 客 
户 端 访问 

习 发 布 邮件 服务 器 

四 洒 发 Sharepeint 站 点 

刁 发 布 网 站 

本 发 布 夫 Web 服务 器 急 议 


策略 编辑 任务 


各 篇 辑 所 渤 规 则 


创建 访问 规则 


图 14-40 
to3 弹出 【新 建 访问 规则 向 导 】〗 对 话 框 ， 在 【访问 规则 名 称 】 文 本 框 中 输入 “允许 员工 访问 
外 网 WEB/MAIL/DNS 服务 器 ”， 如 图 14-41 所 示 ， 单 击 【 下 一 步 〗 按 钮 . 
to3 弹出 【规则 操作 】 对 话 框 ， 选 择 【 人 允许 】 单 选 按钮 ， 以 确保 指定 流量 被 允许 通过 ISA 防 
火 墙 ， 如 图 14-42 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


中 小 型 企业 网 络 管 理 实战 室 典 -基于 Windows 平台 


FEEEITTTTTEIR 和 ET 半 
欢迎 使 用 新 建 访 问 规则 向 导 

nteme & 

AN 此 让 旦 届 肌 赂 全 党 下 个 新 的 沪 则 规则 闻 表 算 人 朋 


来 
尸 兰 试 访问 特定 目标 或 另 一 个 | 
人 


访问 规则 名 称 4) 
[并 辣 下 二 E67 服务 器 
要 继续 ， 请 单 击 “ 下 一 步 ”。 


[Era ww | 
图 14-41 
对 


规则 操作 
Mt ， 用 于 处 理 客户 端 人 指定 目标 请 求 内 容 的 


在 符合 规则 条 件 时 要 执行 的 操作 ; 
BEE 
个 拒绝 @) 


图 14-42 


to 约 弹出 【协议 】〗 对 话 框 ， 在 【此 规则 应 用 到 】 下 拉 列 表 中 选择 【所 选 的 协议 】〗】 选 项 ， 单 击 
【 添加】 按钮 ， 如 图 14-43 所 示 。 


四 
协议 
请 壕 择 此 规则 要 应 用 到 | 的 协议 。 

此 规则 应 用 到 了) : 
[0 本 
协议 @): 

添加 内) 

二 二 

Eu 
端口 他 


sm[Es6 wn | 


图 14-43 
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tog 弹出 【添加 协议 】 对 话 框 ， 在 【协议 】 列 表 中 对 协议 进行 了 分 类 ， 选 择 HTTP、DNS、 
HTTPS、POP3、SMITP 等 协议 ， 如 图 14-44 所 示 ， 分 别 单 击 【 添 加 】 按 钮 。 


田 国 结构 十 
Cm |] #n | 
图 14-44 

to8j 返回 【协议 】 对 话 框 ， 协 议 添加 成 功 ， 通 过 【编辑 】 按 钮 可 以 对 指定 协议 进行 编辑 ， 单 
击 【 端 口 】 按 钮 可 以 添加 允许 通过 的 端口 范围 ， 本 实例 不 采用 端口 操作 ， 单 击 【 下 一 步 〗 按 钮 ， 如 
图 14-45 所 示 。 
到 


协议 
请 选择 此 规则 要 应 用 到 的 协议 。 


图 14-45 
四 本 弹出 【访问 规则 源 〗 对 话 框 ， 单 击 【添加 】 按 钮 ， 如 图 14-46 所 示 。 


.349 。 


中 小 型 企业 网 络 管 理 实 战 委 典 基于 Windows 平台 


eq 
访问 规则 天 
此 规则 格 应 用 于 来 自 此 页 指定 源 的 通讯 
此 规则 应 用 于 来 自 这 些 源 的 通读 
和 加 风 


| 
图 14-46 


i@8j 弹出 【添加 网 络 实体 】 对 话 框 ， 选 择 【 网 络 】〗>【 内 部 】〗 选 项 ， 单 击 【 添 加 】 按 钮 ， 如 
图 14-47 所 示 。 


添加 网 络 实体 El 


图 14-47 
I09) 返回 【访问 规则 源 〗 对 话 框 ，“ 内 部 ”代表 内 网 ， 即 员工 所 在 网 络 ， 如 图 14-48 所 示 ， 
单 击 【 下 一 步 】 按 钮 。 
习 


访问 规则 源 
此 规则 格 应 用 于 来 自 此 页 指定 源 的 通讯 。 


此 规则 应 用 于 来 自 这 些 源 的 通讯 


二 加 OD. 
编辑 EE) 
扩 除 EE) 


-sw [Tsm)] ma | 


图 14-48 
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鹿 0j 弹出 【访问 规则 目标 〗 对 话 框 ， 单 击 【添加 】〗 按 钮 ， 由 于 员工 需要 有 权限 访问 公 网 服务 
器 和 DMZ 区 服务 器 ， 所 以 要 将 “外 围 ” 和 “外 部 ”网 络 都 加 入 访问 规则 目标 ， 如 图 14-49 所 示 ， 
单 击 【下 一 步 】 按 钮 。 

司 


访问 规则 目标 
此 规则 格 应 用 于 从 此 规则 源 发 送 到 此 页 指定 目标 的 通讯 . 


《< 上 - 步 @)[ 下 一 步 加 > 取消 


图 14-49 


加 各 弹出 【用 户 集 】 对 话 框 ， 可 以 指定 有 权限 使 用 该 规则 的 用 户 ， 本 实例 采用 【所 有 用 户 】， 
单 击 【 下 一 步 〗 按 钮 ， 如 图 14-50 所 示 。 


新 建 访问 规则 向导 | 


用 户 集 
tet 或 者 ,您 可 以 限制 沪 问 特定 用 户 


此 规则 应 用 于 来 自 下 列 用 户 集 的 请 求 : 
而 及 
Car 
到 这 区 


《< 上 一步 四 | 下 一 步 中 >| 取消 


图 14-50 


区 配置 完成 ， 在 弹出 的 对 话 框 中 显示 了 允许 员工 访问 公 网 的 配置 信息 ， 如 图 14-51 所 示 ， 
单 击 【 完 成 〗】 按 钮 。 


中 小 型 企业 网 络 管 理 实战 富 典 -基于 Windows 平台 


司 
正在 完成 新 建 访问 规则 向 导 


egies 


让 7 访问 规则 向 导 。 新 访问 规则 的 


要 关闭 向 导 ， 请 单 击 “ 充 成 ”。 


{tsw[ BR ]_ | 


图 14-51 


电 返回 ISA 防火 墙 主 界面 ， 在 【防火 墙 策略 〗 窗 格 中 显示 了 新 添加 的 访问 规则 ， 单 击 【 应 
用 】 按 钮 ， 使 配置 生效 ， 如 图 14-52 所 示 。 


文件 中 换 作 心 ) 查看 Y) 帮助 0) 


SIDE SC 


- 配置 存 外 服务 器 - se-64b32af13796 


防火 墙 策略 (ss-6ab32sf13796) 


名 所 有 | 


EE I i 
图 14-52 


14.3.2 ”限制 员工 的 上 网 时 间 


考虑 到 工作 需要 ， 可 以 限制 员工 上 网 时 间 段 ， 具 体操 作 步 又 如 下 。 
和 右 击 允 许 员 工 访问 网 络 的 策略 ， 在 弹出 的 快捷 莱 单 中 选择 【属性 】 菜 单 命令 ， 如 图 14-53 
所 示 。 


企业 防火 墙 ”第 14 章 


=Iolx| 


文件 中 ”操作 避 查看 WW) 帮助 0) 
| 久 国 日 | 有 字 X OB 


在 阵列 防火 墙 策略 之 后 应 用 E rs 


国 最 … 企业 默 拒绝 网 所 有 通讯 。 区 所 有 网 络 ( 


图 14-53 
I02 弹出 策略 属性 ， 选 择 【 计 划 】 选 项 卡 ， 默认 该 策略 总 是 生效 ， 如 图 14-54 所 示 ， 单 击 【 新 
建 】 按 钮 。 


允许 员工 访问 外 同 YEB/ATL/DNS 服 务 器 属性 | 
第 规 | 换 作 | 协议 | 从 | 到 | 
用 户 计划 容 关 型 


图 14-54 


03j 弹出 【新 建 计划 】 对 话 框 ， 在 【名 称 】 文 本 框 中 输入 “员工 上 网 时 间 ”， 在 下 侧 时 间 区 
域 选 择 不 允许 上 网 的 时 间 段 ， 单 击 【 非 活动 〗 单 选 按钮 调整 结 束 后 ， 单 击 【 确 定 】〗 按 钮 ， 如 图 
14-55 所 示 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 基于 Windows 平台 


设置 基于 此 计划 的 规则 的 激活 时 间 。 


0 “8 10 14 18, 19,20.22 0 


图 14-55 


0 级 配置 结束 ， 返 回 属性 窗口 ， 在 【计划 ]】 选 项 列表 中 使 用 “员工 上 网 时 间 ” ， 如 图 14-56 
所 示 ， ， 单 击 【确定 】 按 钮 。 


下 x| 
常规 | 操作 | 协议 | 从 | 到 | 
用 户 计划 内 容 类 型 | 


计划 @) 国 吕 ItRatia 到 新 建 吕 ... 


| 


& 
dr2.4.6.8.10.12.14.18.10.20.22.0 
三 全 部 一 | il lulu 国 加 本 本 四 加 可可 加 


图 14-56 


I05) 返回 程序 主 界面 ， 单 击 【应 用 】 按 钮 ， 使 配置 生效 ， 如 图 14-57 所 示 。 
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文件 加。 锦 作 和 查看 型 助 如 


CEE 导 字 X © 人 OE 


图 14-57 
14.3.3 ”限制 员工 访问 特殊 域名 网 站 


信息 产业 飞速 发 展 ， 各 类 娱乐 网 站 层出不穷 ， 像 QQ 空间 、 开 心 网 、 迅 雷 看 看 等 。 很 多 员工 
沉迷 于 这 些 网 站 ， 比 如 前 儿 年 的 “ 偷 菜 ” 热 ,“ 偷 菜 ” 儿 乎 成 了 人 们 生活 、 工 作 中 的 一 部 分 ， 这 让 
很 多 领导 烦恼 不 已 。 对 此 ，ISA 防火 墙 可 以 做 出 针对 性 的 限制 ， 具 体操 作 步 又 如 下 。 

6 各 打开 【新 建 访问 规则 向 导 】 对 话 框 ， 在 【访问 规则 名 称 】 文 本 框 中 输入 “不 允许 员工 访 
问 QQ 空间 等 娱乐 网 站 ” ， 如 图 14-58 所 示 ， 单 击 【下 一 步 】 按 钮 。 


新 建 访问 规则 向 导 x|| 
crosofr 


欢迎 使 用 新 建 访问 规则 向 导 
Mee zoo 


i 


访问 规则 名 称 4) 
FRI 


要 继续 ,请 单 击 “ 下 一 步 ”。 


7 


14-58 


2 弹出 【规则 操作 】〗 对 话 框 ， 选 择 【拒绝 】 单 选 按钮 ， 单 击 【 下 一 步 】 按 钮 ， 如 图 14-59 
所 示 。 


S59 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


者 建 访 问 规则 育 导 


| 


en ， 用 于 处 理 客 户 访 从 指定 目标 请 求 内 容 的 


《上 -沙田 -四 )] 9 少 


图 14-59 


to3j 弹出 【协议 】 对 话 框 ， 通 过 【添加 】 按 钮 ， 将 DNS/HTTP/HTTPS 等 协议 加 入 列表 ， 如 
图 14-60 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


新 建 访 问 规 则 向 导 


| 


协议 
请 渤 择 此 规则 要 应 用 到 的 协议 。 


可 LT 

re — 

2 | 
[A 


端口 中 


sw [FE] ww | 


图 14-60 
0 弹出 【访问 规则 源 】 对 话 框 ， 将 【内 部 】〗 网 络 加 入 列表 中 ， 如 图 14-61 所 示 ， 单 击 【下 
一 步 〗 按 钮 。 
加 

i Fe-| 

此 规则 应 用 于 来 自 这 些 广 的 通讯 

入 内 部 | 
综 各 区 ) 
到 队友 


《< 上 一 步 四 ) 取消 


14-61 


5) 弹出 【访问 规则 目标 】〗 对 话 框 ， 单 击 【 添 加 】 按 钮 ， 弹 出 【添加 网 络 实体 】 对 话 框 ， 如 
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图 14-62 所 示 ， 在 【网 络 实体 〗 列 表 中 选择 【新 建 】〗> 【URL 集 】 莱 单 命令 。 


天 加 网 络 实体 | 


图 14-62 


6) 弹出 【新 建 URL 集 规 则 元 素 】 对 话 框 , 在 【名 称 】〗 文 本 框 中 输入 “员工 不 可 访问 网 站 ” ， 
如 图 14-63 所 示 ， 单 击 【 添 加 】 按 钮 可 在 图 中 添加 具有 匹配 特征 的 网 址 。 
Ey 
| 
CD Ti 


包 合 的 了 L 公 适 用 于 HTTP Rh: 
?http: /nierosoEt. con/someput 


El 
和 SS | 。 量 际 四 ) 
Bi 


一 吧 | 了 | 


图 14-63 


[0 到 员 工 不 可 访问 网 址 添加 完成 ， 其 中 “*” 号 代表 匹配 任意 字符 串 ， 如 图 14-64 所 示 ， 单 击 
【确定 】〗】 按 钮 。 

Ed 

a [IF 


UD EOE es meme en IL 条 


外 全 的 RL 通讯) 
和 ee 


中 小 型 企业 网 络 管 理 实战 富 典 基于 Windows 平台 


图 14-65 所 示 ， 单 击 【下 


8) 返回 【访问 规则 目标 】 对 话 框 ,不 可 访问 目标 网 站 添加 成 功 ， 如 


一 步 】 按 钮 。 
EE > 
四 


访问 规则 目标 
此 规则 格 应 用 于 从 此 规则 淹 发 送 到 此 页 指定 目标 的 通讯 . 


此 规则 应 用 于 发 送 到 这 些 目标 的 通讯 
生 加 由- 
编 印 人 ) 
到 除外 ) 


Xt-swT-Sm] ww | 
图 14-65 
to9j 弹出 【用 户 集 〗 对 话 框 ， 默 认 将 该 规则 应 用 到 所 有 用 户 的 请 求 ， 如 图 14-66 所 示 ， 单 击 
【下 一 步 】 按 钮 。 
天 


用 户 集 
| 或 者 ， 悠 可 以 限制 访问 特定 用 户 


此 规则 应 用 于 来 自 下 列 用 户 集 的 请 求 : 
ma mW. | 
篇 得 台 ) 
Bla 


《< 上 - 步 包 [下 一 步 如 | 取消 


图 14-66 
加 0 配置 完成 ， 在 弹出 的 对 话 框 中 显示 了 配置 信息 摘要 ， 如 图 14-67 所 示 ， 单 击 【完成 】 按 
钮 ， 并 在 程序 主 界面 应 用 该 配置 。 


新 建 访问 规则 向 导 | 


正在 完成 新 建 访问 规则 向 导 
eer 
Mmemet Securiy & se 
的 


名 称 : 了 | 
| “nl 不 估 许 员工 访问 Qe 空间 等 和 乐 网 站 
操作 
| | 
EE -一 
元 BS 
| | , | 
要 关闭 向 导 ， 请 间 击 “完成 ”。 
了 
图 14-67 


企业 防火 墙 ”第 14 章 


14.3.4 ”限制 员工 使 用 迅雷 等 下 载 工 具 


企业 的 网 络 带宽 资源 一 般 都 很 有 限 ， 特 别 是 中 小 企业 。 有 限 的 资源 如 果 被 恶意 占用 ， 会 严重 
影响 公司 业务 的 运行 。 其 中 影响 最 大 的 就 是 在 线 视频 、 网 络 下 载 。 在线 视频 可 以 通过 14.3.3 节 内 容 
进行 域名 限制 ， 下 面 主要 介绍 网 络 下 载 的 限制 方法 。 

1. 限制 HTTP 下 载 

很 多 浏览 器 自 带 下 载 功能 ， 通 常情 况 下 这 部 分 网 络 下 载 流量 会 被 网 络 管理 员 忽 略 ， 但 是 如 果 
放任 不 管 的 话 ， 依 然 会 造成 很 大 比例 的 网 络 资源 浪费 。 

限制 HTTP 下 载 的 具体 操作 步骤 如 下 。 

td 右 击 允 许 员工 访问 互联 网 的 防火 墙 策略 ， 在 弹出 的 快捷 菜单 中 选择 【配置 HTTP]〗 菜单 
命令 ， 如 图 14-68 所 示 。 


肪 大 过 策略 (aeroab3zarl3rs6) 


四 利生 此 处 以 了 解密 户 件 验 黄 


JE | 第 史 ”| 名 多 


防火 增 第 咯 规则 
日 国 ! 本 Nl 不 fTIWANE. .OE 
mr 
rT 


在 降 列 防火 坟 染 路 之 后 应 用 的 企业 征 中 规则 
国 最 … 企业 陵 认 规则 


到 | 于 
的 吉 RN 也 要 ITTP 第 中 


图 14-68 


W023 弹出 【为 规则 配置 HTTP 策略 】〗】 对 话 框 ， 选 择 【扩展 名 】 选 项 卡 ， 在 【指定 对 文件 扩展 
名 要 执行 的 操作 】 选 项 列表 中 选择 【阻止 指定 的 扩展 名 ( 允许 所 有 其 他 扩展 名 ) 〗 选 项 ， 单 击 【 添 
加 】 按 钮 ， 如 图 14-69 所 示 。 


中 小 型 企业 网 络 管 理 实战 全 典 - 基于 Windows 平台 


到 
第 讽 | 万 法 扩展 名 | 头 。 | 签名 | 
指定 对 文件 扩展 名 要 执行 的 操作 


阻止 指定 的 扩展 名 ( 交 放 所 有 其 地 扩展 各】 。 到 
Es 
3 


Ei 


确定 取消 应 用 (A) 
图 14-69 


3 弹出 【扩展 名 】 对 话 框 ， 在 【扩展 名 】 文 本 框 中 输入 可 能 被 下 载 的 文件 后 级 ， 如 图 14-70 
所 示 ， 一 般 视频 媒体 文件 被 定 为 禁止 下 载 内 容 ， 单 击 【 确 定 】〗 按 钮 ， 完 成 添加 。 


图 14-70 
罗 旨 按照 14.3.3 小 节 步 骤 添 加 被 限制 下 载 的 所 有 文件 类 型 ， 添 加 结果 如 图 14-71 所 示 ， 选 择 


【阻止 包含 不 明确 的 扩展 名 的 请 求 〗 复 选 框 ， 单 击 【 确 定 】 按 钮 。 


[ramms mr 26 x/ 
第 规 | 方法 扩展 名 | 头 | 答 名 | 
指定 对 文件 扩展 名 要 执行 的 换 作 - 


阻止 指定 的 扩展 名 (允许 所 有 其 地 扩展 名 ) 。 要 


添加 四) 
编程 下 ) 


阻止 包含 不 明确 的 
扩展 名 的 请 求 
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tog 返回 程序 主 界面 ， 单 击 【 应 用 】 按 钮 使 配置 生效 ， 如 图 14-72 所 示 。 


文件 | 
和 | 向 | 大 | 钨 国字 XO# 是 昌 | 下 
国 珊 Et 


initernet Security& 


配置 在 钳 最 务 器 : < 
Acceleration Sefver 006 samszafl3Ts6 


不 化 评 员工 六 吉 ag 


Si 明 


人 光 许 丙 工 配 同 外 FITEBN. .加 多 证 


图 14-72 


2. 限制 迅雷 及 BT 


了 所 有 通读 


所 有 了 1 


一 般 限 制 迅雷 操作 比较 难 ， 可 以 使 用 “限制 HTTP 下 载 ” 的 方式 。 如 果 想 彻底 封锁 迅雷 可 以 
通过 网 络 搜索 所 有 迅雷 的 服务 器 IP 地 址 ， 将 这 些 地 址 封 掉 就 可 以 了 , 但 是 迅雷 的 服务 器 IP 地 址 比 


较 多 ， 操 作 起 来 会 有 些 麻烦 。 


BT 流量 的 封锁 也 可 以 使 用 “限制 HTTP 下 载 ” 的 方式 。 同 时 还 可 以 使 用 签名 的 方式 封锁 BT。 
当 BT 客户 端 下 载 时 ,在 HTTP 请 求 的 数据 包 中 ,包含 了 带 有 BT 特征 的 特殊 字符 串 头 (User-Agent): 
BitTorrent。 所 以 ， 可 以 据 此 使 用 签名 的 方式 将 BT 流量 封 掉 。 详 细 操 作 步 骤 如 下 。 

i 贡 右 击 允 许 员工 访问 互联 网 的 防火 墙 策略 ， 选 择 【配置 HTTP]〗 菜单 命令 ， 弹 出 【为 规则 
配置 HTTP 策略 〗 对 话 框 。 如 图 14-73 所 示 ， 选 择 【签名 〗 选 项 卡 ， 单 击 【 添 加 】〗 按 钮 。 


梧 芭 | 
常规 | 方法 | 扩展 名 | 头 答 名 | 
阻止 包括 这 些 签名 的 内 容 外 ): 
[ED 
编辑 下) 
到 于 
厂 只 显示 启用 的 搜索 宇 符 串 0 
本 
到 
兢 定 取消 应 月 [Cj 
图 14-73 
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中 小 蜡 企 业 网 络 管 理 实战 室 典 基于 Windows 平台 


2 弹出 【签名 】 对 话 框 ,在 【名 称 】 对 话 框 输入 本 条 签名 名 称 “BT 流量”， 在 【查找 范围 】 
文本 框 的 下 拉 选 项 中 选择 【请 求 头 〗 选 项 ， 在 【HTTP 头 】 文 本 框 中 输入 “User-Agent”， 在 【 签 
名 】 文 本 框 中 输入 “BitTorrent”， 如 图 14-74 所 示 ， 单 击 【 确 定 】 按 钮 。 

到 
指定 此 等 名 搜索 的 名 称 - 
名 称 旬 ; 


3 
著名 搜索 条 件 
查找 范围 @) 
TP 头 00- 
指定 要 阻止 的 签名 - 
E33 


Cus] ws | 
图 14-74 
03) 返回 程序 主 界面 ， 单 击 【 应 用 】 按 钮 使 配置 生效 ， 如 图 14-75 所 示 。 


] 换 作 | 均 议 
sO! Na 不 化 许 员工 访问 oq 空间 ， 四 拒绝 ”网 ns 全 内 部 
Lyre 
[i 
S02 NN 区 许 员工 访问 外 同 TEL 加 允许 LJns 广内 部 
Lame 
ms 
Waror3 
Boe 
在 阵列 防火 培 策 咯 之 后 应 用 的 企业 策略 规则 
国 最 企业 扶 U 规 则 因 所 好。 最 所 有 通讯 。 区 所 有 网 络 ( 
4 | nn 一 一 | » 


| 


图 14-75 


14.4 ”项目 实施 3: 利用 1SA 发 布 企 业内 网 服务 器 


在 DMZ 区 放置 了 企业 对 外 发 布 服务 器 , 主要 有 WEB 服务 器 、DNS 服务 器 、 E-Mail 服务 器 等 。 
下 面 详细 介绍 这 些 服 务 器 的 发 布 。 
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14.4.1 ISA 防火 墙 安全 发 布 WEB 服务 器 

WEB 服务 器 是 企业 最 重要 的 对 外 发 布 服务 器 之 一 ， 大 部 分 企业 都 会 用 到 。 

单一 WEB 服务 器 的 发 布 操作 步骤 。 

0 和 1 在 左 侧 列表 选择 【防火 墙 策略 】〗】 选 项 ， 在 右 侧 窗 格 选择 【任务 〗 选 项 卡 ， 单 击 【 发 布 网 
站 】 选 项 ， 如 图 14-76 所 示 。 


ET 换 作 @) 查看 WD 帮助 0D 
el 


了 配置 存 针 服务 器 sa-6db32af13796 防火 墙 策略 (aa-64b32af13796) 


在 降 列 肪 炎 培 策略 之 前 应 用 的 全 业 筑 下 规划 防火 墙 策 略 任务 


司 发 布 aachange Nob 客 
防火 墙 策略 规则 户 议 访问 


习 发 布 邮件 服务 器 
日 加 1 同和 。。 不 化 详 册 工 访问 oq 寺 规 .。 加 拒 引 bi 忆 发 币 SharePeint 站 点 


日 国 > 。 阵列 交 话 员工 访问 外 EB/ 
3 忆 这 有 有 


策略 编辑 任务 
在 阵列 防火 培 策 略 之 后 应 用 的 企业 策略 规则 系统 策略 任务 
国 最 企业 四 拭 旨 网 所 有 甬 i | 节 钨 加 二 中 


区 星 示 素 二 第 中 规则 
i 


图 14-76 


2 弹出 【新 建 Web 发 布 规 则 向 导 】 对 话 框 ， 在 【Web 发 布 规则 名 称 】 文 本 框 中 输入 “DMZ 

区 对 外 发 布 WEB 服务 器 ”， 如 图 14-77 所 示 ， 单 击 【 下 一 步 】 按 钮 。 
习 
欢迎 使 用 新 建 Web 发 布 规则 向 导 


7 


Yeb 发 布 规则 名 称 四) 
FEE 区 下 炸 9E8 服 务 可 


要 继续 ， 请 单 击 “ 下 一 步 ”。 


GES) 取消 


图 14-77 


中 小 型 企业 网 络 管 理 实战 委 典 基于 Windows 平台 


I03) 弹出 【请 选择 规则 操作 】〗 对 话 框 ， 选 择 【 人 允许 】 单 选 按钮 ， 如 图 14-78 所 示 ， 单 击 【 下 
一 步 〗 按 钮 。 


新 建 Yeb 发 布 规则 向 导 x 
请 选择 规则 操作 
请 指定 此 规则 条 件 满足 时 此 规则 响应 的 方式 。 


在 符合 规则 条 件 时 要 执行 的 操作 : 
@ 


选择 了 此 选项 时 ， 格 区 许 与 规则 条 件 匹配 的 传 入 请 求 
个 拒绝) 
选择 了 此 渤 项 时 ， 格 拒 续 与 规则 条 件 罗 本 的 传 和 请求 并 格 阴 上 通讯 


《上 - 步 加 取消 


图 14-78 


0 弛 弹出 【发 布 类 型 〗 对 话 框 ， 选 择 【 发 布 单个 网 站 或 负载 平衡 器 】〗 单 选 按 钮 ， 如 图 14-79 
所 示 ， 单 击 【下 一 步 】 按 钮 。 


新 建 _ Yeb 发 有 规则 向 导 


过 | 


发 布 闫 型 
其 过 二 村 发 和 六 个 网 站 贡 外 相信 急 下 和 加、 Weh 服务 器 场 还 是 多 个 网 


个 发 布 多 个 网 站 | 
使 用 此 这 项 发 布 多 个 网 站 。 格 为 发 布 的 针 个 站 点 包 建 一 个 新 规则 。 


关于 发 布 儿 个 同 站 的 帮助 


< 上 - 步 )[ 下 = 步 中 站 取消 


图 14-79 


I05) 弹出 【服务 器 连接 安全 〗 对 话 框 ， 选 择 【使 用 不 安全 的 连接 连接 发 布 的 Web 服务 器 或 服 
务 器 场 】 单 选 按钮 ， 如 图 14-80 所 示 。 
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(2 


提 示 


浙 建 Yeb 发 丰 规 则 向 导 


x 


服务 器 连 基 安全 
选择 TSA 服务 器 插 与 发 布 的 fah 服务 器 或 有 


个 使 用 StL 连接 到 发 布 的 Yeb 服务 器 或 服务 器 场 5) 


| 
机 的 Yat Cr 
3 


二 时 mr ssalemm ru Rs8 ba 


A 


关于 服务器 连接 安全 的 秋 助 


wm | 


图 14-80 


如 果 使 用 SSL 连接 发 布 服务 器 ， 必 须要 有 认证 系统 ， 和 否则 网 站 发 布 会 失败 ， 本 实例 


t@Q8j 弹出 【内 部 发 布 详细 信息 〗】 对 话 框 ， 在 【内 部 站 点 名 称 〗】 文 本 框 中 输入 网 站 在 内 网 使 用 


的 域名 ， 本 实例 采用 “www.web.com”， 为 了 内 网 服务 器 可 以 被 访问 到 ， 在 【计算 机 名 称 或 瑟 地 
址 〗 文 本 框 中 输入 DMZ 区 Web 服务 器 的 了 地 址 “192.168.100.100”， 如 图 14-81 所 示 ， 单 击 【下 


一 步 〗 按 钮 。 


0 本 在 弹出 的 对 话 框 中 ， 选 择 默 认 配 置 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 


内 部 发 布 详细 信息 
指定 您 要 发 布 的 网 站 的 内 部 名 称 。 
全 这 葡 狗 本 
内 部 站 点 名 称 CE): 
人 


厅 使 用 计算 机 名 称 或 IF 地 址 连接 到 发 布 的 服务 器 WD 


计算 机 名 和 臣 I? 地 址 区 ): E14 
192.168.100.100 


《上 一 步 加 [下 一 步 四 让 取消 


图 14-81 


14-82 所 示 。 


14-82 
08j 弹出 【公共 名 称 细节 】 对 话 框 ， 在 【公用 名 称 〗】 文 本 框 中 输入 公 网 访问 企业 网 站 使 用 的 
域名 , 该 域名 需要 在 域名 注册 机 构 注 册 ， 本 实例 使 用 “www.web.com” 为 例 讲解 ， 如 图 14-83 所 示 ， 
单 击 【 下 一 步 】 按 钮 。 


新 建 Yeb 发 布 规则 向导 


图 14-83 
to9j 弹出 【选择 Web 侦 听 器 】 对 话 框 ， 单 击 【 新 建 〗 按 钮 ， 如 图 14-84 所 示 。 
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EEEEETTE | 
连 择 Teb 佛 听 器 
Tak 俩 听 器 指定 JSA 服务 器 从 听 传 入 feb 请 各 的 IP 地 直 和 江口. 


Tb 全 听 委 册 : 
Gal 


es 
| J 


| 


图 14-84 


因 0 弹出 【新 建 Web 侦 听 器 定义 向 导 】 对 话 框 ， 在 【Web 侦 听 器 名 称 】 文 本 框 中 输入 “外 部 
WEB 访问 ”， 如 图 14-85 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


农 迎 使 用 新 建 Web 俩 昕 器 向 导 


ee 
Sd 
-| 
Tab 需 听 得 吉 称 加) 
Fa 


要 纤 深 ， 请 单 击 “ 下 一 步 ” 


图 14-85 


国 昌 弹出 【客户 端 连接 安全 设置 〗 对 话 框 ， 由 于 本 实例 不 采用 SSL 安全 连接 ， 所 以 选择 【不 
需要 与 客户 端 建立 SSL 安全 连接 〗 单 选 按钮 ， 如 图 14-86 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


Ed| 
客户 东 连 接 安 全 讼 加 
过 反比 feb 全 于 器 村 与 户 寻 立 什么 基 型 的 汉 拉 。 


个 蔷 要 与 客户 汪 建 立 ser 实 全 连接 加 


| JTTIS 向 客户 六 发 布 服务 器 时 国名 
6 PL 人 一 本 
时 -个 

开 且 三星 丙 抽 际 w se 


人 当 于 时 


半 : 助 
EE 
图 14-86 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


加 2 弹出 【Web 侦 听 器 全 地 址 〗 对 话 框 ,选择 侦 听 Web 访问 请 求 的 端口 或 地 址 段 ， 选择 【外 


部 〗 复 选 框 ， 如 图 14-87 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 
可 


Teb 俩 听 器 IP 地 址 
入 reb 请 和 的 TS 服务 器 结 以 和 此 隐 络 上 的 荆 地 


俩 听 这 些 隐 络 上 的 传 入 Web 请求 号) 


《上 一 步 四 [下 -和 步 四 了 涌 


图 14-87 


蜡 8j 弹出 【身份 验证 设置 〗 对 话 框 ， 选 择 【 没 有 身份 验证 〗 选 项 ， 单 击 【 下 一 步 〗 按 钮 ， 如 


图 14-88 所 示 。 


四 
身份 验证 设置 
Es ISA 服务 器 进行 身份 验证 以 及 -SA 服务 器 格 加 何 验证 


广 所 客户 镜 稳 加 何 向 TSA 服务 器 提供 人鱼 据 (S) 


[rmL 窗 体 身份 验证 了 
证 


《上 -- 步 四 取消 


图 14-88 


型 由 弹出 【单一 登录 设置 〗 对 话 框 ， 本 实例 中 没有 身份 认证 问题 ， 不 做 操作 ， 如 图 14-89 所 


示 ， 单 击 【 下 一 步 〗 按 钮 。 
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EECTEEETH | 
划一 村 录 设 寺 


香 一 晤 录 Ss0] 允 村 用 户 疝 TSA 四 冬 器 进行 一 次 身份 驻 证 之 后 吉 能 访问 便 
月 此 Yeb 衣 听 强 的 所 有 已 友和 的 癌 站 。 


TT 到 合用 瞩 Web /人吉 发布 也 网 站 后 用 SS0 记 ) 


二 ED 


so ww | 


图 14-89 


加 Web 侦 听 器 配置 完成 ， 在 弹出 的 对 话 框 中 显示 了 详细 配置 内 容 ， 单 击 【 完 成 】 按 钮 ， 如 
图 14-90 所 示 。 


正在 完成 新 建 Web 债 听 器 向 导 


2005 和 exTwe eb 俩 听 泪 阿 导 。 厅 使 捷 费 红 


we | 


图 14-90 
蜡 g@j 返回 【选择 Web 侦 听 器 〗 对 话 框 ， 新 建 Web 侦 听 器 已 被 应 用 ， 单 击 【 下 一 步 】 按 钮 ， 


如 图 14-91 所 示 。 


新 建 weh 发 布 规 刚 向导 ES 
连 择 rob 信条 加 
和 eb 俩 折 时 指定 TSA 服务 器 侦 听 伟 入 Web 请 于 的 IP 地 址 和 箱 口 。 


《上 -WW|T- 岁 四 >| 。 职 滑 


图 14-91 


中 小 型 企业 网 络 管 理 实战 委 典 基于 Windows 平台 


是 多 弹出 【身份 验证 委派 】 对 话 框 ， 因 为 本 实例 不 配置 身份 验证 ， 所 以 选择 【无 委派 ， 客 户 


端 无 法 直接 尽心 身份 验证 〗 选 项 ， 如 图 14-92 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


新 建 Teb 发 规则 向 导 四 


身份 验证 委派 
身份 验证 委派 是 TSA 服务 器 通过 发 布 的 网 站 对 其 二 开 的 会 话 进行 身份 验 
证 时 合用 的 方法 


选择 TSA 服务 器 对 发 布 的 Yeb 服务 器 进行 身份 验证 时 使 用 的 方法 @) - 


a 


< 上 -- 步 如 [下 一 步 加 取消 


图 14-92 


蜡 8j 弹出 【用 户 集 〗 对 话 框 ， 默 认 将 此 规则 应 用 到 所 有 用 户 的 请 求 ， 如 图 14-93 所 示 ， 


【下 一 步 】〗 按 钮 。 
本 


用 户 集 
Ne 或 者 ， 悠 可 以 限制 访问 特定 用 户 


此 规则 应 用 于 来 自 下 列 用 户 集 的 请 求 - 
有 | 
名 加 下) 
[sy 


《< 上-- 步 如 取消 


图 14-93 


单 击 


鹿 色 Web 服务 器 发 布 配置 完成 ， 在 弹出 的 对 话 框 中 显示 了 详细 的 配置 信息 ， 如 图 14-94 所 示 ， 


单 击 【 完 成 】 按 钮 。 
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新 建 Teh 发 规则 启 导 可 
正在 完成 新 建 Web 发 布 规则 向 导 
1 ity & 
人 
效忠 世 功 过 或 了 款 建 fab 发 布 规则 向 导 新 Tb 发 
和 天 则 OT 
名和 到 
| 区 对 外 发 布 fE8 服 务 器 i 
所 作 ， 
发 布 关 芭 
发 布 单个 网 站 。 
EE es ke ss 
| | 外 


要 关闭 向 导 ， 请 单 击 “ 完 成 ”. 


图 14-94 


忆 g 返回 程序 主 界面 ， 单 击 【 应 用 】 按 钮 使 配置 生效 ， 如 图 14-95 所 示 。 


(2 


提 示 
14.4.2 


防火 洁 筑 咯 (es-6aba2arl3790) 


在 5 火 增生 吧 之 背 兢 用 的 企业 策 吧 规 则 


风 火 过 策略 规则 


日 国 ! RN 干花 省 员工 访问 9 等 如 iw Ds 必 内 部 国 另 工 不 可 沪 ,， 狼 所 
mmom 和 时 
Did 物 所 
分 外 因 EE 
| 者 


图 14-95 


配置 发 布 Web 服务 器 时 ， 内 网 和 外 网 访问 使 用 的 域名 必须 是 可 以 被 DNS 服务 器 解析 
到 的 。 


ISA 防火 墙 安全 发 布 邮件 服务 器 


很 多 企业 为 了 工作 方便 都 会 配备 企业 邮箱 ， 为 了 保证 企业 邮箱 在 内 外 网 都 可 以 使 用 ， 这 就 需 
要 防火 墙 发 布 邮件 服务 器 。 
邮件 服务 器 的 发 布 步骤 。 


0 和 在 程序 主 界面 右 侧 【任务 】 选 项 卡 中 ， 选 择 【 发 布 邮件 服务 器 〗 选 项 ， 如 图 14-96 所 示 。 


中 小 蜡 企 业 网 络 管 理 实战 室 典 基于 Windows 平台 


文才 四 。 拓 作 多。 查看 中。 帮助 四 
XO* | 


防火 墙 策略 任务 


司 发 有 Erehange Web 客 


防火 培 策 略 规则 
日 国 ! al 不 允许 员工 访问 qq 等 组 .， 四 拭 络 ”国史 二 内 


习 发 邮件 各 器 


ES Err 
习 委 布 网 站 

习 发 布 雪 Yeb 服务 器 协议 
局 @ 陡 访问 规则 


| 发 布 邮件 服务 器 
Ts 策略 编辑 任务 

baswr Ei 

XX 开除 所 过 规则 

在 阵列 防火 墙 策略 之 后 应 用 的 企业 策略 规则 | 全 向 上 移动 所 选 规则 
| D (EL 司 
| i 


图 14-96 


2 弹出 【新 建 邮件 服务 器 发 布 规则 向 导 】〗 对 话 框 ， 在 【邮件 服务 器 发 布 规则 名 称 】 文 本 框 
中 输入 “企业 邮件 服务 器 ”， 如 图 14-97 所 示 ， 单 击 【 下 一 步 】 按 钮 。 
新 建 邮件 服务 器 发 布 规则 府 导 划 | 
欢迎 使 用 新 建 邮件 服务 器 发 布 规则 向 导 
全 


女生 引 am 2C、POF、 IMP 和 mF 协 


要 发 布 客户 端 Yeb 邮件 服务 ， 加 OFA、Outlook REC 
ever HTTP、 OMA 惑 Exchange AetiveSynes 
Exchange 邮件 发 布 向 导 。 


国王 一: 


要 继续 ， 请 单 击 “ 下 一 步 ”。 


4 上 -三 四 [下 - 步 四 WL 


图 14-97 


io3j 弹出 【选择 访问 类 型 】〗】 对 话 框 ， 选 择 【 客 户 端 访问 : RPC、IMAP、POP3、SMTP] 单 选 
按钮 ， 如 图 14-98 所 示 ， 单 击 【下 一 步 】 按 钮 。 


14-98 


to 约 弹出 【选择 服务 】 对 话 框 ， 常 用 邮件 服务 有 POP3、SMTP、IMAP4，“secure port” 意 
思 是 安全 端口 ， 如 果 访 问 邮 件 时 使 用 认证 技术 可 以 选择 右 侧 三 项 复 选 框 , 本 实例 选择 左 侧 四 项 复 选 
框 ， 如 图 14-99 所 示 ， 单 击 【下 一 步 】 按 钮 。 


新 建 邮 件 服 务 器 发 布 涡 则 向 导 


选择 服务 
请 渤 择 格 要 在 此 邮件 服务 器 上 发 布 的 服务 。 


14-99 


tog 弹出 【选择 服务 器 】〗 对 话 框 ， 在 【服务 器 人 P 地 址 】 文 本 框 中 输入 DMZ 区 邮件 服务 器 的 
JP 地 址 ， 本 实例 采用 “192.168.100.100” 地 址 ， 如 图 14-100 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


192 ~ 168 .100 100 


SA 


中 小 蜡 企 业 网 络 管 理 突 战 委 典 基于 Windows 平台 


to@j 弹出 【网 络 侦 听 器 卫 地 址 了】 对话 框 ， 在 【 侦 听 来 自 这些 网 络 的 请 求 〗 选 项 列表 中 选择 【外 
部 】 复 选 框 ， 如 图 14-101 所 示 ， 单 击 【下 一 步 】 按 钮 。 
加 


网 络 价 听 器 I 地 址 
El ISA 服务 器 上 网 络 IP 地 址 ， 此 服务 器 格 侦 听 对 已 发 布 服 务 器 的 


所 

2 5 断 有 IP 地 址 > 
口 入 内 部 人 斯 有 I 地 址 > 
口 二 外 图 < 所 有 IP 地 址 > 


EP ?地 
口 二 本 地 主机 需 有 理 地 址 > 
器 入 衬 语 主 的 VPNW 它 户 读 《所 有 TP 志 址 > 


《上 - 步 四 [下 - 步 四 )] 职 滑 


图 14-101 


iQ3 配置 完成 ， 在 弹出 的 对 话 框 中 显示 了 发 布 邮件 服务 器 的 配置 信息 ， 如 图 14-102 所 示 ， 单 
击 【完成 〗】 按 钮 。 


加 
证 邮件 服务 器 发 布 规则 


AR 和 磺 旺 Ei 向 导 . 新 


名 了 司 
医 . 上 


要 关闭 向 导 ， 请 单 击 “ 完 成 ”。 


sv] m | 


图 14-102 


tQ8j 返回 程序 主 界面 ， 单 击 【 应 用 】 按 钮 使 配置 生效 ， 如 图 14-103 所 示 。 
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图 14-103 


14.4.3 “ISA 防火 墙 安全 发 布 其 他 服务 器 


使 用 ISA 防火 墙 发 布 其 他 服务 器 的 操作 步骤 相似 ， 以 DNS 服务 器 的 发 布 为 例 ， 其 具体 的 操作 
步骤 如 下 。 


tiQd 打开 程序 主 界面 ， 在 右 侧 【 任 务 】 选 项 卡 中 选择 【发 布 非 Web 服务 器 协议 】 选 项 ， 如 图 
14-104 所 示 。 


文件 四 。 换 作 从 查看 W 帮助 如 
中 小 | 由 | 四 | 人 @ 团 
erosott Internet Secor ,= 
Internet Security & 
E+ ACE 
日 辕 -sdhszstl3r9e 


.006 配置 存 能 服务 器 - se-64b32sf13796 。 防火 墙 策略 (we-6ah32af13796)) 
re te 


防火 墙 策略 任务 


可 发 布 Exehange eb 三 


全 业 地 件 服务 器 POF3 
全 业 邮 件 服 务 器 Exchan_ 
不 允许 员工 访问 qq 等 如 


发 布 非 Web 


服务 器 协议 EY 
x Wis 
+ FB 


图 14-104 


to3 弹出 【新 建 服务 器 发 布 规则 向 导 】 对 话 框 ， 在 【服务 器 发 布 规则 名 称 】 文 本 框 中 输入 “ 企 
业 DNS 服务 器 发 布 ”， 如 图 14-105 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


中 小 型 企业 网 络 管 理 实战 委 典 基于 Windows 平台 


| 
欢迎 使 用 新 建 服务 器 发 布 规则 向 导 
AR 
ED 


时, 
EE 
ww | 
图 14-105 
to3j 弹出 【选择 服务 器 〗 对 话 框 ， 在 【服务 器 卫 地 址 】 文 本 框 中 输入 DNS 服务 器 的 卫 地 址 


“192.168.100.100”， 如 图 14-106 所 示 ， 单 击 【下 一 步 】 按 钮 。 


新 建 服务 器 发 布 规则 向 导 对 
过 


择 服 务 器 
请 指定 你 要 发 的 服务 器 的 同 络 IF 地 址 。 


服务 器 IP 地 址 避 ) 


Fe ie io lo SG 


mcd se ZE WR 


图 14-106 


四 和 弹出 【选择 协议 】 对 话 框 ， 在 【选择 的 协议 】 下 拉 选 项 中 选择 【DNS 服务器】 选项 ， 如 
图 14-107 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


加 
园 择 协议 
请 选择 已 发 布 服务 器 使 用 的 协议 . 
选择 的 协议 G)- 
a 3 Emew | 


14-107 
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tog8 弹出 【网 络 侦 听 器 全 地 址 】 对 话 框 , 在 【 侦 听 来 自 这 些 网 络 的 请 求 〗 选 项 列表 中 选择 【外 
部 】〗 选 项 ， 如 图 14-108 所 示 ， 单 击 【 下 一 步 〗 按 钮 . 
新 建 电 务 器 发 布 规则 么 导 xj 


网络 俩 听 器 IP 款 址 
和 各 村 对 忆 发 报 务 吕 的 
请 求 。 


关于 加 络 坑 听 器 的 村 助 


《上 - 步 四 职 消 


图 14-108 


tQ6j 配置 完成 ,在 弹出 的 对 话 框 中 显示 了 新 发 布 DNS 服务 器 的 配置 信息 ， 如 图 14-109 所 示 ， 
单 击 【完成 】 按 钮 。 


新 建 服务 器 发 布 规则 向 导 要 | 
正在 充 成 新 建 服务 器 发 布 规则 向 导 


JE 


伏 已 光 功 完成 了 新 染 服务 器 发 布 秽 则 向 导 。 新 服务 
的 


Ee | 


a , 
要 关 洲 向 导 ， 请 单 击 “ 鞠 成 ”。 
sw | mw 
图 14-109 
0 本 返回 程序 主 界面 ， 单 击 【 应 用 】 按 钮 使 配置 生效 ， 如 图 14-110 所 示 。 
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图 14-110 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


14.5 ”专家 答疑 


(1) 如 果 企 业 使 用 了 出 口 防火 墙 部 署 ， 个 人 计算 机 上 还 有 必要 配置 防火 墙 吗 ? 

答 : 企业 防火 墙 是 用 来 防护 外 网 攻击 的 ， 对 于 内 网 产生 的 攻击 ， 防 护 能 力 很 弱 。 所 以 在 企业 
中 每 一 台 主机 都 需要 开启 个 人 防火 墙 ， 以 防护 局 域 网 的 病毒 或 木马 攻击 。 同 时 , 个 人 防火 墙 还 可 以 
防止 非法 链接 。 

(2) 企业 防火 墙 的 访问 策略 应 当 按照 什么 样 的 原则 进行 配置 ? 

答 : 一 般 默认 规则 要 选择 拒绝 所 有 流量 ， 其 他 流量 应 该 遵循 以 下 两 条 原则 。 

Q@ 简 单 实用 :防火墙 本 事 已 经 属于 较为 复杂 的 安全 设备 ， 其 涉及 到 的 技术 比较 广泛 ， 而 很 多 
网 络 管理 人 员 由 于 技术 水 平 有 限 ， 很 难 驾 驭 防火 墙 。 如 果 配 置 不 慎 ， 出 现 了 配置 错误 , 没有 很 好 的 
经 验 ， 恢 复 起 来 会 很 吃力 。 所 以 在 配置 访问 规则 的 时 候 ， 能 简化 的 尽量 简化 ， 越 简单 的 实现 方式 ， 
越 容易 理解 和 使 用 。 而 且 设计 越 简单 ， 越 不 容易 出 错 ， 防 火 墙 的 安全 功能 越 容 易 得 到 保证 ， 管 理 也 
越 可 靠 和 简便 。 虽 然 简单 ， 但 是 也 要 尽量 禁止 一 切 无 用 流量 的 通信 。 

防火 墙 的 安全 功能 很 多 ， 但 是 这 些 功能 并 不 是 所 有 应 用 环境 都 需要 ， 配 置 时 要 结合 企业 需求 ， 
不 必要 的 功能 尽量 使 用 默认 配置 ， 否 则 会 大 大 增强 配置 难度 ， 而 且 还 可 能 因 配 置 不 当 ， 引 起 新 的 安 
全 漏洞 。 

@ 结 合 全 网 安全 架构 需求 : 很 多 用 户 配 置 防火 墙 时 ， 只 是 看 到 了 防火 墙 本 身 的 防护 ， 配 置 几 
条 访问 策略 就 了 事 了 。 可 是 网 络 需要 全 面 的 、 多 层次 的 防御 战略 体系 才能 实现 真正 的 安全 。 因 此 ， 
要 与 入 侵 检测 、 网 络 加 密 认 证 、 病 毒 查 杀 等 多 种 安全 措施 相 结合 ， 才 能 构建 多 层次 、 多 角度 的 安全 
体系 。 
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随 着 互联 网 的 不 断 发 展 ， 病 毒 也 不 断 演变 ， 新 型 病毒 层出不穷 ， 在 网 络 传播 能 力 和 破坏 力 方面 
表现 的 也 越 来 越 强劲 ， 因 此 ， 反 病毒 已 经 成 为 企业 信息 安全 非常 重要 的 一 环 。 特 别 是 在 企业 网 络 里 ， 
用 户 群 比较 多 ， 安 全 需求 也 高 ， 一 旦 有 病毒 传播 只 靠 单一 主机 自主 查 杀 是 没有 意义 的 。 面 对 企业 网 
络 的 病毒 威胁 ， 网 络 管理 员 必 须 做 更 多 的 考虑 ， 选 择 更 智能 、 更 全 面 、 更 系统 的 企业 反 病 毒 系统 。 


15.1 企业 反 病毒 系统 概述 


在 搭建 企业 反 病毒 系统 之 前 ， 先 来 了 解 一 下 什么 是 企业 反 病 毒 系统 ， 以 及 其 分 类 、 设 计 原则 


等 信息 。 
15.1.1 什么 是 企业 反 病 毒 系统 


企业 反 病 毒 系统 是 针对 企业 网 络 反 病 毒 需要 提出 的 一 套 可 以 实时 监控 网 络 安全 状态 ， 并 能 实 
现 全 网 病毒 查 杀 的 反 病毒 系统 。 

要 想 深 刻 地 了 解 什么 是 企业 反 病 毒 系统 ， 首 先 要 把 企业 反 病 毒 系统 和 通常 个 人 家 庭 使 用 的 杀 
毒 软件 区 分 开 。 比 如 常见 的 个 人 家 庭 使 用 的 瑞星 、360、 卡 巴 斯 基 、 人 金山 等 杀毒 软件 ， 都 是 针对 单 
个 主机 进行 查 杀 病毒 的 。 常 见 的 企业 反 病 毒 系统 有 诺顿 企业 版 、ESET NOD32 企业 版 、 卡 巴 斯 基 
企业 版 、360 杀毒 企业 版 、 趋 势 科 技 等 。 


15.1.2 ”企业 反 病 毒 系统 的 设计 原则 


面 对 如 此 严峻 的 网 络 安全 形势 ， 各 大 企业 对 网 络 信息 安全 防护 也 越 来 越 重视 ， 并 纷纷 投入 大 
笔 资 金 进行 网 络 安全 产品 的 采购 和 部 署 。 但 是 设备 只 是 信息 安全 防护 的 骨架 ,应 该 有 合理 的 、 统 一 
的 防范 策略 作 保 障 。 所 以 在 架设 反 病毒 系统 时 需要 进行 严格 的 、 深 入 的 分 析 和 设计 。 

下 面 详细 介绍 企业 防 病 毒 系统 的 设计 原则 。 

1. 满足 查 杀 中 国 式 病毒 要 求 


文化 有 国界 特色 ,病毒 也 不 例外 ， 中 国 式 病毒 在 网 络 安全 部 署 过 程 中 是 不 容 忽 视 的 。 所 以 在 
进行 反 病 毒 系统 设计 时 也 需要 考虑 中 国 特色 。 
国际 上 知名 的 老牌 杀毒 软件 ， 拥 有 强大 的 软 硬 件 技术 ， 但 是 面 对 中 国 式 病毒 也 无 能 为 力 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 基于 Windows 平台 


2006~2007 年 比较 流行 的 熊猫 烧香 病毒 , 大 都 是 依靠 360 等 多 款 国内 杀毒 软件 推出 的 专 杀 程 序 解决 
的 。 不 是 说 国外 杀毒 软件 不 好 ， 只 是 在 针对 中 国 特色 病毒 上 ， 它 们 没有 突出 优势 。 

所 以 在 国内 网 络 中 可 以 使 用 国际 知名 的 老牌 杀毒 软件 ， 但 是 也 要 在 此 基础 上 做 好 中 国 式 病 毒 
查 杀 的 补充 。 


2. 保证 对 新 病毒 的 查 杀 能 力 


杀毒 软件 并 不 是 安装 之 后 就 不 用 理会 了 ， 随 着 新 病毒 、 木 马 的 不 断 出 现 ， 杀 毒 软 件 也 必须 及 
时 的 更 新 程序 和 病毒 库 。 如 果 不 能 实现 快速 的 升级 和 病毒 库 更 新 , 新 病毒 就 会 以 其 惊人 的 传播 速度 
和 破坏 力 毁 灭 整个 网 络 的 计算 机 , 给 企业 带 来 巨大 的 损失 。 所 以 保证 杀毒 软件 快速 的 升级 和 响应 是 
体现 其 病毒 查 杀 能 力 的 决定 性 因素 之 一 。 

杀毒 软件 的 升级 和 病毒 库 更 新 由 三 方面 因素 决定 : 软件 因素 、 管 理 因素 和 网 络 因素 。 


(1) 软件 因素 : 不 同 的 软件 应 对 新 病毒 的 更 新 速度 不 相同 ， 选 择 一 款 更 新 及 时 的 杀毒 软件 很 
重要 ， 很 多 软件 可 以 做 到 一 天 几 次 的 更 新 频率 。 

(2) 管理 因素 : 很 多 杀毒 软件 被 设置 为 更 新 需要 管理 员 手 动 操作 ， 比 如 需要 管理 员 确认 更 新 
提示 等 ， 这 样 会 影响 更 新 速度 ， 一 般 建 议 设 定 为 自动 更 新 ， 且 每 天 做 一 次 手动 更 新 。 

(3) 网 络 因素 : 网 络 环境 通畅 与 否 也 直接 影响 着 更 新 效率 ， 如 网 络 经 常 处 于 拥塞 、 速 率 低 等 
状态 ， 则 更 新 效率 会 降低 。 


15.2 ”项目 实施 1: ESET NOD32 企业 反 病 毒 系统 实战 案例 


ESET NOD32 作为 知名 的 企业 反 病 毒 系统 ， 具 有 较 高 的 市 场 占 有 率 。 下 面 介绍 ESET NOD32 
企业 反 病 毒 系统 的 架设 及 应 用 。 


15.2.1 安装 ESET NOD32 企业 反 病 毒 系统 


ESET NOD32 企业 反 病 毒 系统 主要 由 三 部 分 程序 组 成 : ESET NOD32 防 病毒 软件 、ESET 远 
程 管理 服务 器 、ESET 远程 管理 控制 台 。 这 三 个 软件 可 以 通过 官方 网 站 下 载 获得 。 

企业 内 所 有 客户 机 都 需要 安装 ESET NOD32 防 病毒 软件 ， 同 时 需要 指定 一 台 主 机 安装 ESET 
远程 管理 服务 器 和 ESET 远程 管理 控制 台 程序 ， 作 为 企业 反 病 毒 系统 的 管理 服务 器 。 

下 面 分 别 介绍 三 种 程序 的 安装 过 程 等 。 

1. 安装 ESET NOD32 企业 版 防 病毒 软件 

安装 ESET NOD32 防 病毒 软件 之 前 ， 一 定 要 确保 本 机 没有 其 他 安全 防护 程序 ， 如 病毒 防护 和 
间谍 软件 防护 程序 等 。 安 装 ESETNOD32 防 病毒 软件 的 具体 操作 如 下 。 

td 运行 ESET NOD32 防 病毒 软件 安装 程序 ， 弹 出 安装 向 导 对 话 框 ， 如 图 15-1 所 示 ， 单 击 
【下 一 步 】〗 按 钮 。 
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介 ISIT W0032 Antiviras 安装 可 


欢迎 使 用 ESET NOD32 Antivirus 
安装 向 导 


安装 向 导 格 在 效 的 计算 机 上 安装 ESET NOD32 Antivirus。 
单 击 -下 一 步 灵 疆 ， 或 单 击 取消 银 出 安装 向 导 - 


敬告 9 
为 避免 发 生 严重 情 误 ,继续 安装 前 必须 闭 载 可 能 在 运行 
的 任何 其 地 常 广安 全 应 用 程序 ， 加 病毒 防护 或 间谍 软件 


< | [2 _ wo 


图 15-1 


03 弹出 【最 终 用 户 许可 协议 〗】 对 话 框 ， 选 择 【我 接受 许可 协议 中 的 条 款 】 单 选 按 钮 ， 如 图 
15-2 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


最终 用 户 许可 协 识 
请 他 吉 辕 法 下 列 许 可 协议 p> BM 


要 说 明 : 在 下 载 、 安 装 、 复 制 或 使 用 前 ， 请 癌 读 产品 应 用 程序 的 以 下 条 
， 下载、 安装 、 复 制 或 使 用 产品 ， 表 示 您 同意 这 些 条 款 。 


1 报 终 用 户 软 件 使 用 许可 协议 。 


软件 使 用 协议 ("协议") 由 (“提供 商 ") ESET，spol，s r* 。 与 作为 自然 
| 人 或 法 人 《 同时 也 是 “ 晤 终 用 户 ”) 的 您 签订 。ESET，spol、 sr，o. 位 于 
|Eineteinova 24 ，351 01 Bratisleva ,注册 地 为 布 拉 过 斯 拉 发 第 一 地 区 法 院 商业 注 
| 了 处 ， 企 业 性 睦 为 隘 份 有 限 公司 ， 注 册 号 3586/8， BIN : 31 333 535。 协 议 授 


rt et | 


图 15-2 


3) 弹出 【安装 模式 〗 对 话 框 ,根据 个 人 情况 选择 安装 模式 ， 如 果 是 初学 者 建议 选择 【典型 】 
模式 ， 如 图 15-3 所 示 ， 单 击 【下 一 步 】 按 钮 。 


得 ESET W0032 iativiras 安 装 | 
安装 模式 
选择 安装 模式 BY | 
请 选择 是 (可 ) ESET NOD32 
A 
人 


人 典型 ( 推荐 的 最 佳 设置 )(D 
三 自 定义 ( 可 进行 更 洋 细 寺 肥 置 ) (5) 


< 上 -5 | [wo | 


图 15-3 


中 小 型 企业 网 络 管 理 实 战 泽 典 一 一 花 于 Windows 平台 


0 弛 弹出 【自动 更 新 〗 对 话 框 ， 病 毒 软件 需要 及 时 更 新 程序 及 病毒 库 ， 在 更 新 时 需要 向 服务 
器 提供 有 效 的 用 户 名 及 密码 , 在 【用 户 名 】 和 【密码 〗 文 本 框 分 别 输入 已 获得 的 用 户 名 及 密码 信息 ， 
如 果 还 没有 用 户 名 和 密码 可 选择 【以 后 再 设置 用 户 名 和 密码 】〗 复 选 框 ， 如 图 15-4 所 示 ， 单 击 【下 
一 步 】 按 钮 。 


站 PSET 132 intiviras 安 装 
自 


动 更 新 
乱入 用 户 名 和 训 码 


要 确保 侠 得 景 新 保护 ,请 在 下 方针 入 注册 产品 后 居 到 的 用 户 名 和 密码 。 建议 您 从 注 
击 虹 子 邮 件 中 格 其 复制 (Cu 并 类 贴 (CrHY) 到 下 方 相应 的 字段 中 - 


用 户 名 (W): RE): 
[SEEza Fe 


加 果 您 暂时 还 没有 用 户 名 和 密码 ， 可 稍 后 在 程序 中 设置 


厂 以 后 再 设置 用 户 名 和 客 码 ( 


ts® | 一 mo | 


图 15-4 


log 弹出 【ThreatSense.Net 预警 系统 〗】 对 话 框 ， 通 过 该 项 配置 可 以 及 时 提交 系统 遇 到 的 最 新 
威胁 给 ESET 实验 室 ， 选 择 【启用 ThreatSense.Net 预警 系统 〗】 复 选 框 ， 并 采用 默认 配置 ， 如 图 15-5 
所 示 ， 单 击 【 下 一 步 】〗 按 钮 。 


陋 FSET WOD32 Anti 安装 xj 
ThreatSense.Net 预警 系统 
Thomsence Net = 
由 


的 反馈 信息 )， 这 有 助 于 保护 悠 的 系统 。 


厅 启用 ThreatSense.Net 预警 系统 (E) 


和 请 在 安装 后 阅读 


< 上 一 步 @) 下 - 步 四 > 职 消 ( 
图 15-5 


t08j 弹出 【检测 潜在 不 受 欢迎 的 应 用 程序 】 对 话 框 ， 为 了 使 计算 机 的 性 能 、 速 度 及 可 靠 性 更 
高 ,建议 选择 【启用 潜在 不 受 欢迎 的 应 用 程序 检测 功能 】 下 拉 莱 单 选项 ,如 图 15-6 所 示 ， 单 击 【 下 
一 步 】 按 钮 。 
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间 SET W0032 intiviras 安 装 


检测 潜在 不 交欢 迎 的 应 用 各 序 


吾 在 不 受 欢迎 的 应 用 程序 指 的 是 通常 每 要 经 过 用 户 许可 才能 安装 的 应 用 程序 。 它 们 可 
| ini 但 会 影响 + 算 宙 的 性 能 、 束 度 和 可 靠 性 ,并 改变 计算 机 的 行 


欢迎 的 应 用 程序 检测 功能 


< 上 -4 四 取消 CO 
图 15-6 


0 本 安装 基本 配置 已 经 完成 ， 弹 出 【准备 安装 】 对 话 框 ， 如 图 15-7 所 示 ， 单 击 【 安 装 】 按 钮 。 
间 SET W0032 Antiviras 安装 测 


准备 安装 
> BM 


安装 向 导 准 备 开始 "典型 "安装 


单 击 "安装 "来 开始 安装 。 加 果 您 起 复查 或 更 改 您 的 安装 设置 ， 请 单 击 " 上 一 步 。 单 
击 职 消 可 退出 向 导 . 


< 上 - 步 四 取消 CO 


图 15-7 
IQ8) 系统 自动 安装 程序 ， 并 显示 安装 进度 ， 如 图 15-8 所 示 ， 也 可 以 单 击 【 取 消 】 按 钮 撤销 本 


次 安装 。 


间 FSzT W0032 Antiviras 安装 


正在 安装 ESET NOD32 Antivirus 


请 稍 候 ,安装 向 导 正在 安装 ESET NOD32 Antivirus。 可 能 需要 几 分 钟 . 


状 考 : 正在 复制 新 文件 


图 15-8 


tQ9j 安装 结束 ， 如 图 15-9 所 示 ， 单 击 【 完 成 】 按 钮 ， 完 成 安装 向 导 。 


中 小 型 企业 网 络 管 理 实战 室 典 -基于 Windows 平台 


正在 充 成 ESET NOD32 Antivirus 
安 苇 阿 导 


单 击 完 成 近 闭 时 出 安装 由 导 .。 


2. 安装 远程 管理 服务 器 
ESET 远程 管理 服务 器 必须 在 指定 的 


管理 主机 上 安装 ， 具 体 的 安装 步骤 如 下 。 


0 运行 ESET 远程 管理 服务 器 安装 程序 , 弹出 安装 向 导 对 话 框 , 如 图 15-10 所 示 ， 单 击 【下 


一 步 〗 按 钮 。 


欢迎 使 用 ESET Renote 
Administrator Server 


4. 0. 138. 11 安装 向 导 


FE 
Acninetr or Server 
退出 安装 可 导 。 


SET Re 
区 稚 基 了 香 古训 滑 


5 


W023 弹出 【最 终 用 户 许可 协议 】 对 话 框 ， 选 择 【 我 接受 


i511 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


最 图 用 户主 可 协议 
请 好 细 阅 读 下 列 许可 协议 


图 15-10 
许可 协议 中 的 条 款 〗 单 选 按 钮 ， 如 图 


| 


全 要 说 明 :在 下 过 、 安装 复制 起 使 用 首 , 请 癌 壕 产 品 应 用 得 订 的 tl 条。 划 
网. 下载、 安装 、 复 制 或 使 用 产品 ,表示 你 同意 这 些 条 蓉 


| 最 终 用 户 软件 使 用 许可 协议 。 


[软件 僻 用 协议 (“协议 ”) 由 (“提供 商 ") ESET, :spol sr 。 
SAC ) 的 帮 答 订 。PSET，xpel，= 
注册 地 为 布 拉 岂 


< 上 一 步 四 取消 (C) 


图 15-11 
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3) 弹出 【选择 安装 类 型 】 对 话 框 , 根据 个 人 情况 选择 安装 类 型 ， 如果 是 初学 者 建议 选择 【 典 
型 〗 模 式 ， 如 图 15-12 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


人 生 型 (适用 于 大 多 革履 户 ? 四 
三 高 名 (完全 自 定 义 安装 ) (A) 
[i 


图 15-12 
9 和 弹出 【许可 证 密 铀 〗】 对 话 框 ， 单 击 【浏览 〗 按 钮 选择 已 经 获得 的 “lic" 后 组 的 许可 证 密 铀 


文件 ， 添 加 成 功 后 显示 出 该 密 钥 支持 的 【产品 】〗】、【 客 户 〗 及 【到 期 日 期 〗 等 信息 ， 如 图 15-13 所 


示 ， 单 击 【 下 一 步 】 按 钮 。 


es 日 
这 其 许 3J 证 密 铺 文件 .， 
PB FSETNDO? nts Brcness Ehion 
PP; Version 2 Trg 
DN: 2011-1-31 


文 听 (OD) : 
[EPE be 


sw [5] ao 


图 15-13 


5) 弹出 【安全 设置 】 对 话 框 ， 单 击 【 设 置 〗 按 钮 ， 可 分 别 设置 控制 台 管理 员 权 限 密 码 、 控 


制 台 只 读 权限 密码 、 远 程 代理 安装 程序 密码 、 客 户 端 密码 、 客 户 端 和 服务 器 同步 密码 ， 如 图 15-14 
一 步 】 按 钮 。 


所 示 ， 建 议 使 用 文档 将 密码 妥善 保管 ， 配 置 完成 后 单 击 【下 


FEITTTETTTETTTEE3 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 基于 Windows 平台 


W090] 弹出 【更 新 〗 对 话 框 ， 选择 【以 后 再 设置 更 新 参数 】 复 选 框 ， 如 图 15-15 所 示 ， 单 击 【 下 
一 步 】 按 钮 。 


ao 


图 15-15 
QD 安装 基本 配置 已 经 完成 ， 弹 出 【准备 安装 】〗 对 话 框 ， 如 图 15-16 所 示 ， 单 击 【安装 】 按 钮 。 


SET Remote lini str eler S077 


礁 备 安装 
安装 向导 准备 开始 奥 型 安装 


图 15-16 


tO8j 系统 自动 安装 程序 ， 并 显示 安装 进度 ， 如 图 15-17 所 示 ， 也 可 以 单 击 【取消 〗 按 钮 撤销 
本 次 安装 。 


Fa 可 党 需要 几 分 


状态 。 正在 复制 新 文件 
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I09) 安装 结束 ， 单 击 【完成 】 按 钮 ， 完 成 安装 向 导 ， 如 图 15-18 所 示 。 


正在 完成 ESET Remote 
Administrator Server 安装 向 导 


单 击 充 成 其 望 退 出 安装 训导 . 


图 15-18 
3. 安装 管理 控制 台 
安装 ESET 管理 控制 台 的 主机 要 和 安装 ESET 管理 服务 器 的 主机 是 同一 台 , 其 具体 的 安装 步骤 
如 下 。 
tO 贡 运行 ESET 管理 控制 台 安 装 程序 ， 弹 出 安装 向 导 对 话 框 ， 如 图 15-19 所 示 ， 单 击 【下 一 
步 】〗 按 钮 。 


次 迎 使 用 ESET Remote 
Administrator Console 


4. 0. 138. 11 安装 向 导 


安装 向 导 格 在 悠 的 计算 机 上 安装 ESET Remote 
Administrator Console。 单 击 " 下 一 步 - 仅 返 ,或 单 击 ' 职 消 ” 


志 出 安 半 凋 导 。 


图 15-19 


I02 弹出 【最 终 用 户 许可 协议 】 对 话 框 ， 选 择 【 我 接受 许可 协议 中 的 条 款 】〗 单 选 按钮 ， 如 图 
15-20 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


中 小 型 企业 网 络 管 理 实战 富 典 基于 Windows 平台 


间 PSET Eenote Adninistrator Consele 安装 


最 终 用 户 许可 协议 
请 季 细 阅读 下 列 许可 均 议 


说 明 :在下 生 、 安 半 、 复 或 人 用 前 ， 请 癌 坟 产 器用 得 育 的 bLT 科 。 划 
-下载 、 安 装 、 旭 制 或 使 用 产品 表示 您 同意 这 些 条 革 ， 


用 户 软件 使 用 许可 协议 - 


牢 便 用 协议 (“协议 ”) 由 ( “提供 商 ") PSET，spol，s r，。 与 作为 自然 
位 于 


mm | 


图 15-20 


t@Q3j 弹出 【选择 安装 类 型 】〗 对话 框 ， 根据 个 人 情况 选择 安装 类 型 ， 如 果 是 初学 者 建议 选择 【 典 
型 〗 模 式 ， 如 图 15-21 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


选择 安装 类 型 
选择 奥 型 ( 推荐 ) 或 高 大 安装 


| 


图 15-21 


0 弛 弹出 【选择 安装 文件 来】 对话 框 ， 在 【文件 夹 】 文 本 框 中 输入 程序 安装 目录 ， 也 可 以 单 
击 【 浏 览 】 按 钮 指定 安装 目录 ， 本 实例 采用 默认 配置 ， 如 图 15-22 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


连 择 安装 文件 卖 
eT Renote dnnierator Conooe 的 人 


要 安装 到 此 文件 夹 ， 请 单 击 " 下 一 步 "， 安 装 到 不 同文 件 奕 ， 请 在 下 面 输入 或 单 击 训 


文件 天 ( 虽 ): 
Fogan Fies\ESETIESET Remote AdmristratorYConsole\ 浏览 (9) 


< [TF=Ba3] _ WO 


图 15-22 


05) 安装 基本 配置 已 经 完成 ， 弹 出 【准备 安装 】〗 对 话 框 ， 单 击 【 安 装 】 按 钮 ， 如 图 15-23 所 示 。 
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间 FSET Renote Adninistrator Consele SR 


图 15-23 


96] 系统 自动 安装 程序 ， 并 显示 安装 进度 ， 如 图 15-24 所 示 ， 可 以 单 击 【 取 消 】 按 钮 撤销 本 
次 安装 。 


1 SIT Remote Adoinistr tor Comelae 


正在 安装 ESET Remote Administrator Console 


ee 可 能 需要 几 


状态 ; 
nan 


图 15-24 
0 到 安装 结束 ， 单 击 【 完 成 】 按 钮 ， 完 成 安装 向 导 ， 如 图 15-25 所 示 。 
间 PSFT Renote kdninistratoc Consele 安插 | 


正在 完成 ESET Remote 
Administrator Console 安装 向 导 


单 证 完成 控 纪 退出 安装 向 导 。 


[Bb ESET Remote Administrator Console 


图 15-25 


中 小 型 企业 网 络 管 理 实战 富 典 基于 Windows 平台 


15.2.2 ”设置 ESET 配置 编辑 器 


在 企业 版 中 ， 需 要 通过 管理 控制 台 对 所 有 反 病 毒 客户 机 进行 管理 ， 管 理 控制 台 在 使 用 之 前 需 
要 先 做 基础 管理 配置 ， 主 要 是 对 配置 编辑 器 进行 配置 。 通 过 配置 编辑 器 可 以 更 改 客户 端的 配置 ， 给 
客户 端 新 增 计划 任务 等 。 配置 编辑 器 的 配置 内 容 比 较 多 ， 本 实例 主要 介绍 两 部 分 : 分 别 是 ESET 内 
核 和 升级 设置 。 


1. 打开 配置 编辑 器 
在 设置 ESET 内 核 和 升级 之 前 ， 需 要 打开 配置 编辑 器 ， 具 体 的 操作 步骤 如 下 。 


it 双击 桌面 上 的 远程 管理 控制 台 程 序 【ESET Remote Administrator Console】〗 的 快捷 方式 ， 
打开 控制 台 程 序 主 界面 ， 弹 出 【输入 服务 器 密码 〗 对 话 框 ，【 服 务 器 〗、【 类 型 】 和 【访问 权限 】 


三 项 默认 产生 ， 只 需要 在 【密码 】〗 文 本 框 中 输入 安装 程序 时 设置 的 密码 即 可 ， 输 入 密码 后 单 击 【 确 
定 】 按 钮 ， 如 图 15-26 所 示 。 


ET -ETT 
HEY x x fleol oe a OCOD 


a ey ee ee 
人 
rn 可 


| 
-mm 


该 窗 格 中 没有 禾 手 - 


Fa TREE TEFSE TREE TSEE TSEE TRRIT 9 


图 15-26 
to3 密码 验证 成 功 后， 选择 【工具 】〗>> 【ESET 配置 编辑 器 】 菜 单 命令 ， 如 图 15-27 所 示 。 


“390" 
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ESEEIEEIEII 


碟 过 帮办 昭 | 严 X 


通知 管 下 器 加- bln © Oy 
厂 全 过 PN cuaaueie | mmsru | De 
ESMR? | FE |] EE wang cme E73 3 | mm 
客户 这 过 流 条 件 一 
防火 堵 油 刚 合 并 网 导 四] 
| A 旋塞 痢 中 没有 数据 - 
广 车 各 志 握 
三 忆 邓 数 扯 
有 可 默认 的 主要 容 记 菇 第 略 引 
-OE wW 二 和 币 ,可 下 于 | 
日: 日 6 呐 W 父 弟 吗 日 ， 查看 模式 。 | 和 定义 识 图 借 式 
DI SN ES SysResene 到 | ee Ca 上) 
该 省 将 中 没有 数据 - 
r [NT 二 
主 服务 器 : 
客户 芋 名 称 : 
计算 贡 名 称 : 
Mac 地址 | 
万 树 地 问 业 ser | | Ml 到 
DP VI IO TOT IVI ZE 7 A 
Mrmr RE A |[ 亲 X 且 | 下 二 [和 站 RRC 「 下 [EU 


图 15-27 


to3j 弹出 【ESET 配置 编辑 器 】 窗 口 。 配 置 编辑 器 左 侧 以 树 状 结构 显示 配置 内 容 ， 大 部 分 的 
配置 都 在 【ESET Smart Security,ESET NOD32 Antivirus〗 这 一 部 分 里 ， 所 以 本 实例 只 对 这 部 分 进行 


配置 ， 如 图 15-28 所 示 。 


rn ss 
文件 人 ) 编辑 于 ) 配置 文件 作 ) 显示 候 ) 帮助 如 


=19lx| 


EY 


加 
日 


NDD32 版 本 


困 - 局 ESET 内 核 
机 扫 扩 


田 - 周 文档 防护 
由 -让 个 人 防火 墙 


田 - 导 更 新 模块 


ESET Smart Security, ESET NOD32 Antivirus 


田 - 同 文件 系统 过 让 器 
鳃 - 则 电子 邮件 过 让 器 


鳃 - 周 坟 坡 邮件 过 小 器 


标记 M】 | 家 和 所 | 驮 AD) 
设置 


名 称 :计算机 抹 六 
默认 : Fnoney = 
值 V} <none> 


司 电子 邮件 客户 半 
下 邮件 服务 器 防护 


由 -看 用 于 Microsoft Exchange Server 的 邮件 服务 器 防护 
> Unix ESET Security version 3 
» Mac OS X/Linu Desktop ESET NOD32 Antivirus 
‘Windows Mobile ESET Mobile Security 
Symbian ESET Mobile Security 
ESET Remote Administrator 


图 图 图 导 图 


[EH Se Seriy, FH Ws Mvives [ 


2. 设置 ESET 内 核 


图 15-28 


在 ESET 内 核 配置 中 ， 主 要 配置 以 下 三 项 内 容 。 
(1) 远程 管理 用 于 指定 工作 站 要 连接 的 远程 管理 服务 器 的 地 址 。 


具体 的 配置 步骤 如 下 。 


四 选择 【ESET 内 核 】 
置 内 容 ， 如 图 15-29 所 示 。 


>【 设 置 】> 【远程 管理 】〗 选 项 ， 显 示 出 【远程 管理 】〗 配 置 项 的 配 


中 小 型 企业 网 络 管 理 实战 室 典 -基于 Windows 平台 


DG 要 
文件 四 ， 久 得 下 配置 文 件 下 显示 GD) 帮助 0 
Ek 
3 el 二 
am ET 
已 -局 ESET 内 核 
白 - 卓 设置 渤 程 和 要 
四 向 病毒 防护 Se 
EF We 
田 - 间 日 老 文件 
加 -日 用 户 界 而 和 报 和 通知 A on 
加 连接 到 Remote Administrator Server: 否 


下 连接 到 服务 器 的 间隔 ( 分钟) : 10 
恒 主 服务 器 地 址 
主 服务 器 负 口 a 
晤 主 最 务 器 守 码 : < 
ess 是 
局 次 服务 器 地 | 
站 Et 2222 
加 次 服务 器 密码 : < 空 密码 > 
目 水 不 通过 不 安全 的 通信 连接 到 次 服务 器 : 是 
局 许可 证 密 钥 
电量 ThreatSense Net 


ES 半 


[EH mer sy Er Ws mvs [EA 


4 


图 15-29 


ti032 选择 【连接 到 Remote Administrator Server】 选 项 ， 勾 选 右 侧 【 值 〗 复 选 框 ， 如 图 15-30 
所 示 ， 使 管理 控制 台 连 接 到 管理 服务 器 。 


曙 ISTT 本 置 可 加 【天 请 标题 风 +] 
文件 下) 编辑 下 ) 配置 文件 中 显示 人 ) 帮助 内 
J WiiQ 
习 大 NOD32 版 本 2 二 而 
0 Eu | mamey] wo | [2 
外 CsrT 内 核 设置 
Sh: enole AdnnstaorSener 
的 以 : 
阐 NE 是 盾 
惟 备 就 堵 [ET a [ER | 
图 15-30 


03) 选择 【 主 服务 器 地 址 】 选 项 ， 在 右 侧 【 值 〗 文 本 框 中 输入 客户 机 需要 连接 的 服务 器 卫 地 
址 ， 本 实例 采用 “192.168.1.102”， 如 图 15-31 所 示 。 


【远程 管理 〗 中 的 其 他 选项 可 以 根据 实际 情况 配置 ， 其 中 【 主 服务 器 端口 〗 的 值 是 客 


户 端 连接 到 远程 管理 服务 器 的 默认 端口 ， 如 果 在 远程 管理 服务 器 上 安装 了 防火 墙 , 需 
提 示 。“ 要 设 定 防火 墙 多 许 该 端口 流量 通信 ， 否 则 客户 端 是 连接 不 上 的 。 
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ET 
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证 
SEE 
默认 : 
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司 认 服务 器 定 码 ; < 宁 它 码 > 
忆 永 不 通过 趟 安全 的 天 信 连 授 到 次 银 务 器 : 是 
让 -向 放 可 证 查 钥 
加 -加 ThreotSense.Net 
二 -二 警报 和 通知 
CT] 到 


[EH ey i vr [BN 


图 15-31 


惟 备 就 结 


(2) 设置 保护 参数 

可 以 设置 保护 密码 ， 客 户 端 获得 保护 密码 后 可 以 起 到 保护 作用 。 可 以 防止 客户 端 配 置 被 随意 
更 改 ， 防 止 客户 端 被 卸载 等 。 

设置 保护 参数 的 具体 操作 步骤 如 下 。 

to04 选择 【ESET 内 核 】 >【 设 置 】>【 保 护 设置 参数 】〗>【 要 解除 锁定 的 密码 】〗 选 项 ， 单 
击 右 侧 【 设 置 密码 】〗】 按 钮 ， 如 图 15-32 所 示 。 


QECECCDIICCTTTICIR -oz 


ET TT 
HQ 


图 15-32 


2 弹出 【密码 】 对 话 框 ， 如 图 15-33 所 示 ， 在 【输入 密码 〗 和 【确认 密码 】 文 本 框 输 入 具 
有 较 高 安全 性 的 密码 ， 不 可 使 用 如 “123456” 一 样 的 简单 密码 ， 单 击 【 确 定 】〗 按 钮 。 


Se 


中 小 型 企业 网 络 管 理 实战 宝典 基于 Windows 平台 


3) 设置 密码 成 功 ， 在 【要 解除 锁定 的 密码 】 后 出 现 密码 字符 串 “******”， 如 图 15-34 所 示 。 


| 


ET 


(3 ) 计划 任务 
管理 员 不 可 能 时 刻 在 管理 控制 台面 前 管理 客户 机 ， 对 于 一 些 常规 管理 任务 ， 应 尽量 由 服务 器 
自己 完成 ， 同 时 企业 员工 的 计算 机 水 平 差 异 很 大 , 管理 员 应 定期 对 所 有 客户 机 进行 病毒 查 杀 。 考 虑 
这 些 需求 ， 制 作 计划 任务 显得 很 重要 ， 制 作 好 的 计划 任务 会 自动 分 发 到 所 有 客户 机 。 
制作 计划 任务 的 具体 操作 步骤 如 下 。 


toJ 选择 【ESET 内 核 〗 盖 【设置 】〗 关 【计划 任务 〗 关 【计划 任务 : 总 计 0/0 (任务 /要 删除 ) 】 
选项 ， 单 击 右 侧 【 编 辑 】 按 钮 ， 如 图 15-35 所 示 。 


章 ISET 配置 久 辑 器 - [未 设 标题 的 *] 
文件 四， 护 各 加 卫 置 文人 让) 显示 G) 帮 用 00 
NE 


标记 册 | 束 汶 季 2 。 轩 AD) 


曲 吹 认 用 户 界面 往 
由 是 天 L 
三 
英 


[ET 


到 


图 15-35 
to3 弹出 【计划 任务 】 对 话 框 ， 单 击 【添加 】〗 按 钮 ， 如 图 15-36 所 示 。 


“394。 
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到 
厂 饶 复 为 默认 的 计划 任务 ( 移 除 由 用 户 添加 的 所 有 任务 ) 凡 
名 称 | 状态 ID 任务 时 
: 避 
添加 A) 师 辑 EE] 大 际 证 细 信 总 [T | 兢 定 | | 


ia El) 默 D] 取消 局 jj 
图 15-36 


t@Q3j 弹出 【添加 任务 】 对 话 框 ， 在 【计划 的 任务 】〗 下 拉 莱 单 选项 中 可 以 选择 要 执行 的 任务 类 
型 ， 如 图 15-37 所 示 。 


了 ad 
网 任务 加 
[EE - 
外 娃 二 各 和 从 才 志 
Es 
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Esa XE WL) 


图 15-37 


下 拉 菜 单 中 各 项 的 参数 含义 如 下 。 

@ 【运行 外 部 应 用 程序 下 可 以 让 客户 端 按照 计划 运行 其 他 外 部 程序 ， 这 个 功能 使 用 比较 少 。 

@ 【日 志 维护 〗 定期 进行 日 志 维护 ， 特 别 是 大 型 企业 ， 新 日 志 产 生 的 速度 很 快 ， 如 果 长 期 
不 做 清理 ， 会 占用 很 多 空间 。 

@ 【计算 机 扫描 下 定时 扫描 计算 机 ， 并 按照 要 求 查 杀 病毒 。 

@ 【创建 计算 机 状态 快照 〗 可 按照 计划 对 计算 机 状态 进行 周期 性 快照 记录 。 

e@ 【更 新 } 即 定 时 更 新 病毒 库 ， 默 认 情 况 下 ESET NOD32 会 每 个 小 时 自动 更 新 病毒 库 ， 所 
以 此 功能 可 以 不 用 设置 。 

@ 【自动 启动 文件 检查 】〗; 计算 机 启动 时 ， 自 动 扫描 启动 文件 ， 防 止 病毒 在 计算 机 启动 时 运 
行 ， 并 查 杀 启动 文件 夹 中 的 病毒 。 

I0 旨 在 【计划 的 任务 】 下 拉 列 表 选 项 中 选择 【计算 机 扫描 】 选 项 ， 如 图 15-38 所 示 ， 每 周 进 

行 一 次 计算 机 扫描 ， 单 击 【 下 一 步 〗 按 钮 。 


I 
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= 取消 已) 


图 15-38 


to9g 在 弹出 的 对 话 框 的 【任务 名 称 〗】 文 本 框 中 输入 本 次 计划 任务 的 名 称 ， 本 实例 输入 “每 周 
扫描 ”， 并 在 【执行 任务 】〗 中 单 击 【 每 周 〗 单 选 按钮 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 15-39 所 示 。 
本 到 


任务 名 称 
[BE 
执行 任务 
个 一 次 多 


三 重复 加) 
三 每 日 @ 
人 际 册 可] 
个 由 事件 触发 到 ) 


厂 如 果 计算 机 正在 靠 电池 供电 ， 则 不 执行 任务 @) 


mo | 


图 15-39 


tQ8j 在 弹出 的 对 话 框 的 【任务 执行 时 间 】 文 本 框 中 指定 时 间 为 “8:00:00” ,如 图 15-40 所 示 ， 
勾 选 【周一 】 复 选 框 ， 每 周一 早晨 8 点 执行 任务 ， 单 击 【 下 一 步 〗 按 钮 。 


在 以 下 日 期 执行 任务 
末 周 -如 厂 风 好 三 周 XG 
厂 周 二 四 厂 周 五 四 厂 周 日 ) 


mo | 


图 15-40 


本 如 果 在 预定 的 任务 计划 时 间 系 统 因 关 机 等 原因 无 法 完成 任务 ， 应 让 系统 在 恢复 正常 后 迅 
速 执行 计划 任务 ， 如 图 15-41 所 示 ， 单 击 【尽快 执行 任务 〗】 单 选 按钮 ， 单 击 【下 一 步 】 按 钮 。 
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Et 天 则 需 尽 快 完成 ， 或 在 下 次 预定 时 


2 
加 果 未 执行 任务 


个 如 果 自 上 次 执行 任务 至 今 已 超过 指定 时 间 间 隔 则 立即 执行 任务 UD) 


任 多 间 际 时 (小 民 ” 习 


tsw [FSm3] mw | 


图 15-41 
如 图 15-42 所 示 。 


四 8 计划 任务 配置 完成 ， 在 弹出 的 窗口 中 显示 了 计划 任务 的 详细 配置 ， 单 击 【 完 成 】 按 钮 


yl 
任务 已 排 入 计划 。 
计划 任务 概述 
散 稚 : 


考 伍 jiramn 6:00;00 时 执行 : 星期 一 
1 


厅 以 特定 参数 执行 任务 下] 


上 -上 四 [CR _ wwe | 
图 15-42 
to9j 弹出 【特殊 设置 〗】 对 话 框 ， 在 【说 明 】〗 文 本 框 中 输入 关于 本 次 计划 任务 的 描述 “每 周 扫 
描 计算 机 ”， 六 选项 ， 
本 实例 采用 默认 配置 “全 部 扫描 ” 


选择 【配置 文件 】 选 项 ， 在 【 值 〗 下 拉 菜 单 选项 中 选择 计算 机 扫描 采用 的 配置 文件 
雪 ， 如 图 15-43 所 示 


到 
说 明 [D} RE 


图 15-43 
异 0j 选择 【目标 〗 选 项 ， 单 击 【目标 〗 按 钮 ， 指 定 扫描 目标 ， 如 图 15-44 所 示 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


确定 0] 取消 加) || 


图 15-44 


加 各 弹出 【文件 夹 和 文件 〗 对 话 框 ， 可 以 指定 文件 夹 、 文 件 、 列 表 、 了 驱动 器 和 内 存 为 扫描 目 
标 ， 本 实例 以 驱动 器 为 例 进行 介绍 ， 单 击 【 了 驱动器 】〗 按 钮 ， 如 图 15-45 所 示 。 


图 15-45 


加 色 弹出 【客户 端 扫描 目标 选择 】〗 对 话 框 ， 可 根据 情况 进行 选择 ， 为 了 安全 建议 勾 选 【 所 有 
驱动 器 〗 复 选 框 ， 如 图 15-46 所 示 ， 单 击 【确定 】〗 按 钮 。 


要 容 户 六 扫描 目标 迁 振 | 
口 可 移动 介质 


图 15-46 
如 图 15-47 所 示 。 


因 3 返回 【文件 夹 和 文件 】〗 对 话 框 ， 可 继续 添加 其 他 目标 ， 单 击 【 确 定 〗 按 钮 ， 完 成 添加 ， 
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李 文件 夹 和 文件 x 


图 15-47 


加 旨 返回 【特殊 设置 】 对 话 框 ，【 目 标 】〗 选 项 后 的 【 值 〗 显 示 为 【1 个 条 目 〗， 如 图 15-48 
所 示 ， 单 击 【确定 】〗】 按 钮 。 
本 
[ET 


估 数 列表 ( 选择 所 需 参数 并 调整 其 值 ) ;一 一 一 一 一 一 一 一 一 一 
a CR rw 


图 15-48 


型 色 返回 【计划 任务 】 对 话 框 ， 计划 任务 添加 成 功 ， 并 自动 分 配 了 任务 ID， 如 图 15-49 所 示 ， 
可 以 单 击 【 添 加 】〗 按 钮 继续 添加 计划 任务 ， 添 加 完成 后 单 击 【 确 定 〗 按 钮 。 


本 计划 任务 x 
计划 任务 《 移 队 由 用 户 二 加 的 所 有 任务 ) 


罗 得 E) 稳 除 晶 | | 吝 旨 信息 中 i 
用 于 出 隐 的 标记 ET mR | | 
图 15-49 
时 6 返回 【ESET 配置 编辑 器 】 窗 口 ， 如 图 15-50 所 示 ， 可 以 看 到 “计划 任务 : 总 计 1/0”， 表 
示 当 前 已 有 一 个 计划 任务 添加 成 功 。 


中 小 蜡 企 业 网 络 管 理 实战 室 典 基于 Windows 平台 


EC ET 
a 


3. 更 新 模块 的 设置 


所 有 客户 机 在 更 新 程序 及 病毒 库 时 ， 必 须要 有 统一 的 更 新 配置 ， 其 中 最 重要 的 就 是 更 新 服务 
器 的 配置 。 下 面 介绍 更 新 模块 的 配置 方法 。 

选择 【更 新 模块 】>【 配 置 文件 】>【 设 置 】>【 更 新 服务 器 】 选 项 ， 在 右 侧 【 值 】 文 本 框 
中 输入 客户 机 可 用 的 更 新 服务 器 地 址 ， 一 般 为 安装 ESET 管理 服务 器 的 主机 ， 本 实例 采用 
“http:/192.168.1.102:2221”， 其 他 设置 项 可 根据 情况 配置 ， 如 图 15-51 所 示 。 


4. 保存 配置 编辑 器 
配置 编辑 器 设置 完成 后 ， 要 妥善 保存 。 保 存 配置 的 具体 步骤 如 下 。 


to 单 击 【ESET 配置 编辑 器 〗 工 具 栏 的 【 辐 ] 按钮 ， 弹 出 【CfgEdit】 对话 框 ， 如 图 15-52 
所 示 ， 单 击 【是 】〗 按 钮 。 


Ex 
2 是 否 要 保存 更 3? 


EE so | ww | 


15-52 


tO3 弹出 【另存 为 】 对 话 框 ， 在 【保存 在 】 下 拉 莱 单 中 选择 合适 的 保存 目录 “我 的 文档 ”， 


“400 。 
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在 【文件 名 】 文 本 框 中 输入 保存 的 文件 名 “config”， 在 【保存 类 型 〗 下 拉 菜 单 选项 中 选择 【配置 
文件 (*.xml ) 〗 选 项 ， 如 图 15-53 所 示 ， 单 击 【 保 存 】 按 钮 。 


了 TD 


[LEE 习 OF 


配置 编辑 器 的 其 他 内 容 , 基 本 都 可 以 不 用 去 修改 ,系统 已 经 默认 设 定好 大 部 分 的 参数 ， 
这 些 默认 配置 可 以 最 大 限度 地 平衡 计算 机 的 性 能 。 
提 示 


15.2.3 ”设置 客户 端 连接 


客户 端 安装 之 后 ， 需 要 被 控制 台 统 一 管理 ， 这 需要 在 所 有 客户 端 配置 连接 管理 控制 服务 器 。 

设置 客户 端 连 接 的 具体 操作 步骤 如 下 。 

LO 运行 ESET NOD32 客户 端 反 病毒 程序 ， 打 开 程序 主 界面 ， 选 择 左 侧 的 【设置 〗 选 项 ， 单 
击 右 侧 的 【切换 到 高 级 模式 〗 超 级 链接 ， 如 图 15-54 所 示 。 


及 护 居 态 Ed 设置 
Q ama 
用 户 儿 和 密码 设置 
(BE 
并 局 站 和 放权 护 
滞 证 
在 部 下 可 以 查看 所 有 配置 过 项 。 i 
【下 本 切换 到 高 
级 模式 
显示 :标准 醒 式 更 we po your Goal wens 


图 15-54 
四 2 弹出 【切换 到 高 级 模式 〗】 提 示 对 话 框 ， 单 击 【是 〗】 按 钮 ， 如 图 15-55 所 示 。 
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图 15-55 


tQ3j 在 右 下 方 显示 了 更 多 配置 项 ， 单 击 【 显 示 所 有 高 级 设置 〗 超 级 链接 ， 如 图 15-56 所 示 。 


防护 发 者 


Q rawam 


图 15-56 
0 旨 弹出 【设置 】 对 话 框 ， 选 择 左 侧 【 更 新 〗 选项， 在 右 侧 【更 新 服务 器 】〗 下 拉 菜 单 中 选择 


更 新 程序 及 病毒 库 的 服务 器 ， 默 认 使 用 【自动 选择 〗， 也 可 以 单 击 【 编 辑 】 按 钮 ， 进 行 添 加 ， 如 图 
15-57 所 示 。 


Lee ]_wao |_ wo | 


图 15-57 


5) 弹出 【更 新 服务 器 列表 】〗 对 话 框 ， 在 【更 新 服务 器 〗 文 本 框 中 输入 客户 端 可 使 用 的 更 新 
服务 器 地 址 ， 该 地 址 在 管理 服务 器 端 有 设置 ， 本 实例 采用 的 是 “http://192.168.1.102:2221” ， 单 击 
【 添加】 按钮 ， 如 图 15-58 所 示 。 
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ETEEEEE 


本 可 


图 15-58 


to6j 添加 成 功 ， 如 图 15-59 所 示 ， 在 【更 新 服务 器 列表 】〗 中 有 添加 后 的 地 址 ， 可 以 双击 服务 
器 地 址 直接 修改 ， 更 新 服务 器 地 址 正确 添加 后 ， 单 击 【 确 定 〗】 按 钮 。 


yl 
更 新 服务 器 (UD) ; 


关 
更 新 服务 器 列表 


Ihttp://192,168.1,102:2221 


质 加 (人 
| 


图 15-59 


0 返回 【设置 】 对 话 框 ，【 更 新 服务 器 〗 下 拉 莱 单 选项 的 地 址 已 经 制定 成 功 ， 如 图 15-60 
所 示 。 


图 15-60 


8 在 左 侧 选项 中 选择 【其 它 〗 关 【远程 管理 〗 选 项 ， 在 右 侧 【 服 务 器 地 址 】〗】 文 本 框 中 输入 
安装 管理 服务 器 程序 的 主机 卫 地 址 ， 本 实例 采用 “192.168.1.102”， 在 【端口 】 文 本 框 中 输入 管 
理 服务 器 指定 的 “2222” 端 口 ， 单 击 【 确 定 】〗 按 钮 ， 完 成 客户 端的 配置 ， 如 


图 15-61 所 示 。 
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= 
| 


3 下 管理 服务 器 地 址 


ees] mo | ww | 


图 15-61 
15.2.4 使 用 ESET NOD32 进行 全 网 杀毒 


企业 反 病 毒 系统 的 环境 做 好 之 后 ， 在 日 常 管理 中 经 常会 遇 到 客户 端 感染 病毒 的 现象 ， 对 此 需 
要 控制 台 对 单个 主机 或 全 网 进行 病毒 查 杀 。 
在 控制 台 进行 全 网 病毒 监控 及 查 杀 的 具体 操作 步骤 如 下 。 
ti 外 选择 已 有 客户 端 ， 右 击 和 鼠标， 在 弹出 的 快捷 莱 单 中 选择 【新 任务 】〗>【 手 动 扫 描 〗 菜 单 
命令 ， 如 图 15-62 所 示 ， 根 据 需要 ， 选 择 清除 是 否 启用 。 
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图 15-62 
在 【新 任务 】 选 项 后 有 多 个 选项 ， 主 要 选项 介绍 如 下 。 
@ 【配置 任务 〗 用 于 配置 计划 任务 ， 可 不 在 此 配置 。 
@ 【手动 扫描 耻 有 两 个 选项 ， 其 差异 在 于 扫描 到 病毒 后 的 操作 ,【 清 除 已 禁用 】〗 表 示 扫 描 到 


的 病毒 只 做 提示 不 清除 ， 而 【清除 已 启用 】 会 将 扫描 到 的 病毒 直接 清除 。 
@ 【立即 更 新 下 从 图 15-62 可 以 看 出 ， 上 方 【病毒 库 状 态 〗 选 项 下 有 红色 提示 “ 某 些 较 旧 ”， 
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可 以 通过 【立即 更 新 〗 选 项 解决 病毒 库 或 反 病毒 程序 较 旧 的 问题 。 
2 弹出 【手动 扫描 】 窗 口 ，【 配 置 部 分 〗 和 【配置 文件 名 】 下 拉 菜 单 选项 按 默 认 配 置 ， 在 
【要 扫描 的 驱动 〗 选 项 框 中 , 勾 选 需要 扫描 的 项 目 ， 本 实例 采用 默认 配置 ， 左 下角 的 【扫描 但 不 清 
除 】 复 选 框 可 根据 情况 选择 ， 如 图 15-63 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


图 15-63 
to3j 弹出 【选择 客户 端 〗 窗口 ， 通 过 双击 或 者 拖 放 的 形式 将 左 侧 【所 有 项 】 列 表 中 的 服务 器 
或 客户 端 放 入 右 侧 【 选 定 项 目 〗 列 表 中 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 15-64 所 示 。 


oly 
所 有 项 选 定 项 目 
豆 静态 组 入 Server? / Server2 
参数 组 


D 
日 吧 所 有 客户 钢 
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图 15-64 
四 旨 弹出 【任务 报告 窗口 ， 在 【新 任务 的 最 终 报告 】〗 中 显示 新 建 扫描 任务 ， 在 【任务 设置 】 
【名 称 〗 文 本 框 中 输入 本 次 任务 名 ， 可 以 通过 选择 【该 时 间 之 后 应 用 任务 】 复 选 框 ， 设 定 定时 扫描 
计划 ， 本 实例 不 做 操作 ， 为 了 方便 排查 故障 ， 不 建议 选择 【如 果 成 功 完 成 ， 则 通过 清除 功能 自动 删 
除 任务 】 复 选 框 ， 单 击 【 完 成 〗 按 钮 开始 客户 端 扫描 ， 如 图 15-65 所 示 。 


“405 。 
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厂 计 间 之 后 用 任 g 人 km 二 [二 


厂 如 果 成 功 完成 ， 则 通过 清除 功能 自动 日 除 任务 四) 


so | 


图 15-65 


15.3 项 目 实施 2: 趋势 科技 企业 反 病 毒 系统 实战 案例 


趋势 科技 是 国内 实力 很 强 的 反 病毒 系统 ， 对 于 中 国 式 病毒 的 防护 具有 比较 显著 的 优势 ， 下 面 
详细 介绍 其 环境 架设 及 应 用 。 


15.3.1 安装 趋势 科技 企业 反 病 毒 系统 
趋势 科技 反 病 毒 系统 对 计算 机 内 存 要 求 稍 高 ， 最 好 使 用 1G 以 上 内 存 。 安 装 趋势 科技 反 病 毒 系 
统 的 具体 操作 步骤 如 下 。 


04 运行 趋势 科技 防毒 墙 网 络 版 安装 程序 ， 弹 出 安装 向 导 ， 单 击 【 下 一 步 】 按 钮 ， 如 图 15-66 
所 示 。 


欢迎 使 用 防毒 墙 网络 版 安装 程序 . 


您 将要 开始 安装 防毒 墙 网 络 版 。 请 确定 具有 Iniemel 
连接 ， 以 成 功 完成 安装 过 程 。 


请 单 击 ' 下 一 步 "继续 ， 或 者 单 击 ' 取 消 ' 退 出 。 
团 肯 本 程序 受 版 权 法 和 国际 条 约 保护 。 


帮助 和 站 取消 | 
图 15-66 


t@2j 弹出 【许可 证 协议 】 对 话 框 ， 选择 【我 接受 许可 证 协议 中 的 条 款 】 单 选 按钮 ， 如 图 15-67 
所 示 ， 单 击 【 下 一 步 〗 按 钮 。 
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图 15-67 


四 3 弹出 【客户 端 部 署 】 对 话 框 ， 给 出 将 客户 端 安装 软件 包 部 署 到 防毒 墙 网 络 版 客户 端 所 需 
的 预 估 网 络 带宽 ， 如 图 15-68 所 示 ， 单 击 【下 一 步 】 按 钮 。 


图 15-68 


LO 约 弹出 【使 用 指南 〗 对 话 框 ， 如 图 15-69 所 示 ， 提 示 安 装 前 备份 现 有 服务 器 配置 ， 默 认 不 


图 15-69 


5 弹出 【安装 目标 〗 对 话 框 ， 选 择 【在 此 计算 机 上 】 单 选 按钮 ， 如 果 需 要 将 程序 安装 到 远 
程 主机 ， 可 以 选择 另 一 项 ， 单 击 【下 一 步 】 按 钮 ， 如 图 15-70 所 示 。 


.407 。 


中 小 型 企业 网 络 营 更 活 就 公共 基于 Windows 平台 


15-70 


0@j 弹出 【计算 机 预 扫描 】〗 对 话 框 ， 选 择 【扫描 目标 计算 机 】 单 选 按钮 ， 如 图 15-71 所 示 ， 
对 本 机 进行 安全 风险 扫描 ， 单 击 【 下 一 步 〗 按 钮 。 


表 培 网 络 版 


15-71 


四 本 程序 自动 对 目标 操作 系统 进行 扫描 ， 并 显示 扫描 进度 ， 如 图 15-72 所 示 。 


图 15-72 


tj 扫描 结束 ， 弹 出 【安装 路 径 〗】 对 话 框 ， 单 击 【浏览 〗 按 钮 可 以 设 定 反 病 毒 程序 的 安装 路 
径 ， 本 实例 采用 默认 配置 ， 单 击 【 下 一 步 〗 按 ， 如 图 15-73 所 示 。 


* 408 。 
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图 15-73 


四 9 弹出 【代理 服务 器 】 对 话 框 ， 设 定 趋势 科技 企业 反 病 毒 程序 访问 Internet 的 代理 服务 器 
地 址 ， 本 实例 不 做 配置 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 15-74 所 示 。 


图 15-74 


轩 弹出 【Web 服务 器 〗 对 话 框 ， 如 图 15-75 所 示 , 设置 防毒 墙 服务 器 要 使 用 的 Web 服务 器 ， 
如 果 本 机 安装 了 IIS 组 件 ， 可 以 选择 【IIS 服务 器 〗 单 选 按钮 ， 访 问 端口 为 8080， 如 果 本 机 没有 安 
装 IIS 组 件 ， 只 可 以 选择 【Apache Web 服务 器 2.0】 单 选 按钮 ， 使 用 Apache 服务 器 安全 性 高 于 IIS 
服务 器 ， 本 实例 使 用 IIS 服务 器 ， 单 击 【 下 一 步 〗 按 钮 。 


趋势 科技 防毒 增 网 络 版 


“409 。 


中 小 型 企业 网 络 管 理 实战 富 典 -基于 Windows 平台 


量 昌 弹出 【计算 机 标识 〗 对 话 框 ， 可 以 设 定 防毒 墙 客户 端 识 别 服务 器 使 用 IP 地 址 及 域名 ， 本 
实例 采用 默认 配置 【域名 】 单 选 按钮 ， 文 本 框 中 显示 为 主机 名 ， 如 图 15-76 所 示 ， 单 击 【下 一 步 】 
按钮 。 

es DE 


指定 防毒 墙 网 络 版 客户 访 是 否 按 服 务 器 的 域名 或 IP 地 址 识别 服务 器 。 


埠 执 科技 建 识 在 计算 析 有 多 个 同 卡 时 使 用 IP 地 址 ,在 计算 机 的 IP 地址 可 能 会 发 生 更 的 时 


个 域名 ee 


个 P 地 址 


InatalShald 


Wm | “上 一 步 是 [下 一 取消 | 
图 15-76 
电 到 弹出 【产品 激活 】〗 对 话 框 ， 如 图 15-77 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


产品 汝 活 
en Se 
没 活 分 为 两 多 ; 


J WN 


OCT 将 通过 电子 好 件 向 您 英 送 一 个 激活 


十 


Inualshald 


帮助 < 上 一 沙 加 FF—»W)| 取消 
图 15-77 
中 在 【 防 病毒 〗、【 损 害 清除 服务 〗】 和 【Web 信誉 和 防 间谍 软件 】 三 个 文本 框 中 ， 分 别 输 
入 已 经 获得 的 激活 码 ， 如 图 15-78 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


上 
产品 涡 活 
步 要 2 铀 入 数 活 码 DH 


请 使 用 以 下 阁 式 键 入 防毒 过 网 洁 版 服务 的 激活 码 : 
O00063000 0 00000000000000] 
防 病毒 : 

[0S GBEGKMXSS E3INA M2WSL GSG2C SDF 

捐 雪 清除 服务 

[DESM26 LNBRH YJEAL CHRLS ASRLWFTSA 

Web 信 党 和 防 间谍 软件 : 
SW-BGVE-CPFIG EVEHU SED 8 FEVLY NNRYN 


Instalshagd 


帮助 | < 上 一 步 @[ 下 一 步 吊 ] 取消 | 


图 15-78 
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加 弛 弹出 【安装 集成 型 云 安全 智能 防护 服务 器 】〗】 对 话 框 ， 选 择 默 认 配 置 ， 如 图 15-79 所 示 ， 
单 击 【下 一 步 】 按 钮 。 
i 
为 确保 景 舍 性 能 ， 荡 等 科技 娃 识 修 安 装 独立 型 云 安全 知府 陪 扩 季 务 器 


条 要 茉 用 生 克 江 云 安全 管 电 辽 护 芭 各 器， 请 作 屿 毒 洁 卫 和 县 Web 到 制 全 中 振 生 扩 记 
法 更 为 他 区 ， 局 确 淋 维 闪 次 得 保护 - 


安奈 入 成 型 服务 器 。 此 职务 里 吉 持 HTTP 和 HTTFS 协议 - 
区 BH SsLEl 
证 书 有 效 了 其 FE 年 


SSL 谊 D- Ea 
MntalBhield 


Cu vo mn | 


图 15-79 


型 色 弹出 【启用 Web 信誉 服务 】 对 话 框 ， 采 用 默认 配置 ， 如 图 15-80 所 示 ， 单 击 【 下 一 步 】 
按钮 。 


下 六 科 失 防 表 志 网 络 版 
局 用 Web 位 党 最 务 


89 


安装 程序 林 正 目 标 计算 机 上 局 用 集成 型 Web 信 东 服务。 


是 否 要 局 用 集成 型 Web 信 常服 务 了 

C EO 

re LE 
HTTP 奖 D; Fa 


Imtalgpidd 


| | 
图 15-80 


加 6 弹出 【安装 其 他 防毒 墙 网 络 版 程序 〗 对 话 框 ， 如 图 15-81 所 示 ， 选 择 安装 【防毒 墙 网 络 


版 客户 端 〗 程 序 ， 以 确保 防毒 墙 服务 器 使 用 客户 端 程序 实施 病毒 防护 ( 客户 端 程序 可 以 实现 病毒 扫 
描 、 查 杀 ) ， 单 击 【下 一 步 】 按 钮 。 


| 趋 涩 科 技 防毒 声 同 络 版 
安装 其 好 防 圭 培 网 络 版 程序 


食 TE8 
下 如 9 
内 辽 二 同 结 版 服务 器 之 外 ， 秒 可 能 还 需要 在 目标 计划 机 上 安装 起 防 寺 同 结 乒 各 
序 。 请 从 以 下 程序 中 进行 等 

5 rT 


厂 策略 职务 器 for Cisco NAC®) 

厂 bsco Trust Agent or Cisco NacIO 

键入 cisco Thust Agert 证 书 立 件 所 在 的 本 地 驱动 器 和 目 邓 的 守 束 路径 (全 io 。 
Cctagent can) 


该 十 书 必须 位 于 本 地 到 起 加 上 : 不 接受 射 的 线 动 器 - 


[ E20 


aa 


wm | se [Fm] we | 


图 15-81 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 基于 Windows 平台 


因 辐 弹出 【 云 安全 智能 防护 网 络 】 对 话 框 , 选择 【启用 趋势 科技 智能 反馈 〗 复 选 框 , 如 图 15-82 
所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


| 熙 势 科技 防毒 培 问 络 肯 
云 安全 各 仿 防 护 网 络 
多 me 


yd 
共生 丰 要 人 只 柱 


行业 本 志 ) a 可 
Ww | :Epol Tp] mW | 
图 15-82 
鹿 8j 弹出 【管理 员 账 户 密码 】〗 对 话 框 ， 如 图 15-83 所 示 ， 默 认 Web 控制 台 访 问 账 户 为 “root”， 
根据 要 求 在 制定 文本 框 输入 密码 信息 ， 建 议 【Web 控制 台 密 码 〗 和 【客户 端 退出 与 卸载 密码 】 的 
密码 信息 不 要 一 样 ， 单 击 【下 一 步 】 按 钮 。 


ERETTET 
管理 员 帐 户 乾 码 
网 Tesvo 


Wy | :ya[F-5 | 
图 15-83 


蜡 gj 弹出 【防毒 墙 网 络 版 客户 端 安装 〗 对 话 框 ， 设 置 防毒 墙 客户 端 程序 的 默认 安装 路 径 、 访 
间 端 口 及 安全 级 别 信 息 ， 本 实例 采用 默认 配置 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 15-84 所 示 。 


ER 因 
防 表 涪 网 络 版 客户 六 安 装 
网 TREND 
9 


将 使 用 相同 的 安装 足 径 在 防 肆 培 网 络 版 服务 器 任 管 理 的 所 有 计 蔗 机 上 安装 防 龙 培 网络 
版 客户 端 。 请 刍 入 以 下 安装 如 入。 
警 省 -安装 完成 后 ,将 无 法 更 改 安装 路 径 ， 


[RT 
端口 号 - 43861 
安全 枚 串 


天 普通 (or 将 已 为 计划 机 的 程序 文件 和 注册 表 文件 配置 的 访问 权限 分 配给 芒 毒 二 网络 
版 客户 统 广 件 和 注册 表 。 


个 高 限制 对 防雪 六 网 络 版 客户 庄 文 件 和 注册 表 的 访问 权限 - 


mm | ssw [Ts] mm | 


Inatalshad 


图 15-84 


.412 。 
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忆 9 弹出 【 防 病毒 功能 】〗 对 话 框 ， 如 图 15-85 所 示 ， 选 择 【 启 用 防火 墙 】 复 选 框 ， 以 确保 服 


务 器 的 安全 ， 单 击 【 下 一 步 】 按 钮 。 


人 DH 


地 
厂 在 服务 器 平台 上 启 月 防火 墙 E) 


在 服 冬 器 平台 上 ， 防毒 尝 网 络 版 会 自动 其 用 防火 培 服 务 。 选 择 此 功 志 可 
上 确保 防 末 增 辣 训 版 在 扣 务 器 和 台式 机 干 台 上 启 月 防火 培 - 


Instalshiald 


wm | mn | 


图 15-85 


必 昌 弹出 【 防 间 谍 软 件 功能 〗 对 话 框 ， 选 择 【 是 ， 我 想 启用 评估 模式 】 单 选 按 钮 ， 如 图 15-86 


所 示 ， 以 防护 间谍 软件 和 灰色 软件 的 威胁 ， 单 击 【 下 一 步 〗 按 钮 。 
防 间谍 软件 功能 
和 全 人 全 合生 区 企 估算 枚 书生 放生 统 。 抽 大 术 关 王 人 寺 生 下 全 
是 否 要 启用 评估 模式 ? 
四 [DER 
个 再， 请 不 要 启用 评估 模式 (oO)。 


Inatalgheld 


wm | em | 


图 15-86 


EE 双 弹出 【防毒 墙 网 络 版 程序 快捷 方式 〗】 对 话 框 ， 如 图 15-87 所 示 
的 程序 名 ， 采 用 默认 配置 ， 单 击 【 下 一 步 】 按 钮 。 


EEEEEEETET3 
防雪 筷 网 络 版 程序 快 半 方式 


MGRo 


安装 程序 桨 在 ' 开 始 ' 突 单 中 添加 一 个 包 合 防 毒 培 网 络 版 程序 快 搜 方 式 的 文件 夹 。 请 接 
ES 您 也 可 以 选择 一 个 格 在 蔷 中 添加 全 序 快 搜 方 


文件 夹 : 


[WnRAR 
只 件 . 
管理 工具 
局 动 


Inaalshald 


< 一步 @U 取消 


图 15-87 


， 设 定 在 【开始 〗 中 显示 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


忆 3) 弹出 【安装 信息 〗 对 话 框 ， 系统 给 出 之 前 的 配置 摘要 信息 ， 单 击 【安装 】 按 钮 ,， 如 图 15-88 
所 示 。 


| 超 势 科技 防毒 培 同 络 版 | 
安装 信息 
Tr 


件 夹 名 称 者 
jn 
wel] mW | 
图 15-88 


共生 弹出 【安装 状态 】 对 话 框 ， 系 统 依照 配置 自动 安装 程序 ， 并 显示 安装 进度 ， 如 图 15-89 
所 示 。 


安装 状 硒 


CMTrend MictoADWfceScanAPCCSRVYAWSSVaciveupdatevcrcSbl002 


InataisFad 


图 15-89 


区 5 弹出 【安装 完毕 〗 对 话 框 ， 可 以 根据 需要 选择 【查看 自述 文件 〗 和 【打开 Web 控制 台 】 
复 选 框 ， 单 击 【 完 成 】 按 钮 ， 完 成 趋势 科技 防毒 墙 的 安装 ， 如 图 15-90 所 示 。 


EEEEEEETET3 
安装 完毕 


已 成 功 安装 趋势 和 技 防毒 培 网 络 版 


三 查看 自述 文件 四 
厂 打开 web 控制 GO 


S| |] ww 


图 15-90 
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15.3.2 ”设置 趋势 科技 软件 防护 内 网 安全 
在 使 用 趋势 科技 软件 进行 全 网 杀毒 之 前 ， 需 要 设置 趋势 科技 软件 以 防护 内 网 安全 。 
1. 登录 趋势 科技 Web 控制 台 


td 选择 【开始 】〗>【 程 序 】> 【趋势 科 技 防 毒 墙 网 络 版 服务 器 】〗>【 防 毒 墙 网 络 版 Web 控 
制 台 (HTML ) 】 莱 单 命令 ， 如 图 15-91 所 示 。 


图 15-91 
03j 弹出 【安全 警报 〗 对 话 框 ， 单 击 【是 】〗】 按 钮 ， 如 图 15-92 所 示 。 


到 
疗 多 人 TWOREA 人 EN 但 该 站 点 


2 


该 安全 证 书 的 日 期 有 效 。 


© 
© 人 


是 天 继续? 


Ev 查看 证 书 咏 


图 15-92 


93) 进入 【WEB 控制 台 登 录 】 页 面 ， 在 【用 户 名 】〗 和 【密码 】 文 本 框 中 分 别 输入 有 效 信 
息 ， 本 实例 采用 默认 账户 “root” 及 安装 时 设 定 的 密码 “123123”， 单 击 【 登 录 】 按 钮 ， 如 图 
15-93 所 示 。 


中 小 型 企业 网 络 管 理 实战 富 典 基于 Windows 平台 


CE 
请 二 入 用 户 名 和 齐 码 以 访问 Weh 控 村 后 


本 网 用 户 旨 债 以 下 过 户 夫 实 革 程 冯 铺 久 ， 


[ICE IT JET TI TO 也 
TT GV [am 。 


图 15-93 


8 旨 进入 趋势 科技 防毒 墙 网 络 版 程序 主页 面 , 同时 弹出 【Internet Explorer- 安 全 警报 〗 对 话 框 ， 
提示 安装 程序 必要 组 件 ， 如 图 15-94 所 示 ， 单 击 【 安 装 】 按 钮 。 


I Expl 安全 要 和 


图 15-94 


5) 组 件 安装 成 功 ， 显 示 程 序 主 界面 ， 默 认 显示 【摘要 〗 信 息 ， 包 括 客户 端 联机 状态 、 病 毒 
爆发 状态 、 联 网 计算 机 更 新 状态 等 信息 ， 如 图 15-95 所 示 。 


树 CE 可 ER 
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:下 
i Te 间 丰 春 ip 难 均 诗风 网 坟 二 
ee 和 和 
图 > a 要 
3 于 天 


2. 添加 防毒 墙 客户 端 
想 要 对 全 网 主机 实施 反 病毒 ， 必 须 将 这 些 主机 加 入 到 反 病 毒 系 统 中 ， 因 此 ， 需 要 在 所 有 主机 
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内 安装 防毒 墙 客户 端 程 序 。 安 装 方法 有 两 种 ， 分 别 是 : 基于 浏览 器 安装 和 远程 安装 。 

(1) 基于 浏览 器 安装 

具体 的 操作 步骤 如 下 。 

由 1 在 左 侧 选 项 列表 中 选择 【联网 计算 机 】>>【 客 户 端 安装 】〗】>【 基 于 浏览 器 】〗 选 项 ， 在 右 
侧 界 面 的 【电子 邮件 主题 】 文 本 框 中 设置 客户 端 接收 邮件 的 主题 ， 本 实例 采用 默认 配置 ， 单 击 【 创 
建 电子 邮件 】 按 钮 ， 如 图 15-96 所 示 。 


一 一 | 启动 基于 浏览 器 的 去 装 


Ee 请 re 
和 RL 时 


sl 到 
Ti TT 
图 15-96 
92 在 弹出 的 对 话 框 中 可 以 设置 邮件 信息 ， 在 【 收 件 人 】 文 本 框 中 输入 收 件 人 邮箱 地 址 ， 本 
实例 使 用 “user@163.com” 进 行 演示 ， 其 他 采用 默认 配置 ， 单 击 【 发 送 】 按 钮 ， 如 图 15-97 所 示 。 


只 请 单 击 以 下 VERL 安装 防毒 堵 同 络 版 考 户 油 


PN a 


https://20110211- 
1604:4343/officescan/console/html /ClientInstall 


15-97 


3 本 地 没有 发 件 人 信息 ， 所 以 首先 要 添加 发 件 人 ， 在 弹出 的 【您 的 姓名 〗】 对 话 框 中 设置 发 
件 人 显示 名 为 “user2”， 单 击 【下 一 步 】 按 钮 ， 如 图 15-98 所 示 。 


.417 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


着 庆生 + 次 的 姓名 格 出 现在 外 发 邮件 的 “发 御 人 ”字段 ,键入 您 


显示 名 四 ): serz 
例如 :John Saith 


下 一 步 双 | 下 一 步 色 7| 职 消 
图 15-98 
由利 弹出 【Intemet 电子 邮件 地 址 】〗 对 话 框 ， 在 【电子 邮件 地 址 】 文 本 框 中 输入 发 件 人 邮箱 地 
址 ， 本 实例 使 用 “user2@163.com”， 单 击 【 下 一 步 〗 按 钮 ， 如 图 15-99 所 示 。 


Int 连接 向 导 Es 


您 的 电子 邮件 地 址 是 别人 用 来 给 您 发 送 电子 邮件 的 地 址 。 


电子 邮件 地 址 于) ser28163 co 
M0: someonedni crosoft. com 


| 
图 15-99 
95) 弹出 【电子 邮件 服务 器 名 】〗 对 话 框 ， 在 【接收 邮件 服务 器 〗 和 【发 送 邮 件 服务 器 】 文 本 


框 中 输入 正确 地 址 信息 ， 由 于 本 案例 使 用 的 是 163 邮箱 ， 所 以 服务 器 使 用 如 图 15-100 所 示 配 置 ， 
单 击 【下 一 步 】 按 钮 。 


本 
电子 邮件 服务 器 各 


我 gh 邮 件 接 收服 务 器 是 G) [F075 二] 服务器。 


接收 邮件 POP3，INAP 或 MTTP) 服务 器 加 ): 
Fen 163. em 

SITP 服务 器 是 侨 用 让 发 送 邮件 的 服务 器 - 
发 送 邮 件 服务 器 (SNTP) 中) 

EEC 


< 上- 步 吕 | 下 一 步 吕 > 。 取消 


图 15-100 


I06) 弹出 【Intemet 邮件 登录 】 对 话 框 ， 在 【账户 名 】 文 本 框 中 输入 “user2”， 在 【密码 〗 文 
本 框 中 输入 指定 邮箱 的 有 效 密码 ， 单 击 【 下 一 步 】 按 钮 ， 如 图 15-101 所 示 。 
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Internet ET 2 


帐户 各 的: ser2 
E273 Fe 


克 记 住 密码 加 
ee 


厂 使 用 安全 密码 验 这 号 录 GTA) GG) 


sw wn | 
图 15-101 
[0 到 弹出 【祝贺 您 】 对 话 框 ， 如 图 15-102 所 示 ， 邮 件 账 户 设置 成 功 ， 单 击 【 完 成 】 按 钮 ， 向 
客户 端 发 送 邮 件 。 


图 15-102 


本 实例 中 采用 的 邮箱 地 址 及 密码 必须 是 当前 网 络 的 有 效 地 址 。 


提 示 


(2) 远程 安装 

使 用 这 种 方法 必须 要 有 访问 客户 机 的 权限 ， 以 及 有 效 的 计算 机 账户 和 密码 。 远 程 安装 的 具体 
操作 步骤 如 下 。 

t04 在 左 侧 选 项 列表 中 选择 【联网 计算 机 】 关 【客户 端 安装 】〗】 关 【远程 】 选 项 ， 右 侧 显示 【 远 
程 安装 】 窗 格 。 如 图 15-103 所 示 ， 在 【计算 机 名 称 】 文 本 框 中 输入 需要 安装 防毒 墙 客户 端的 客户 
机 名 称 或 P 地 址 ， 本 实例 以 “192.168.1.103” 主 机 为 例 进行 讲解 ， 单 击 【 搜 索 】 按 钮 。 
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图 15-103 


tO3j 在 弹出 的 对 话 框 的 【用 户 名 】 和 【密码 】 文 本 框 中 ,分别 输 入 指定 客户 机 的 认证 信息 ， 
如 图 15-104 所 示 ， 单 击 【登录 】〗 按 钮 。 


号 录 到 “YORKGROWPNI92 全 
用 户 各 
E20 


区 :i 


mins trator 


图 15-104 


to3j 登录 成 功 ， 在 右 侧 的 【 选 定 的 计算 机 】〗 列 表 中 显示 了 已 连接 成 功 的 计算 机 ， 单 击 窗 格 左 
下 侧 的 【安装 】 按 钮 ， 如 图 15-105 所 示 。 
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图 15-105 


0 旨 弹出 【趋势 科技 防毒 墙 网 络 版 管理 控制 台 】 对 话 框 ， 如 图 15-106 所 示 ， 提 醒 是 否 在 指定 
的 “192.168.1.103” 计 算 机 上 安装 客户 端 程序 ， 单 击 【 是 】 按 钮 。 
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趋势 科技 防毒 培 网 络 版 管理 控制 合 有 | 


某 网 络 版 客户 端 安装 
192. 165.1.1033 
Es | 


图 15-106 


05) 自动 安装 客户 端 程序 ， 安 装 成 功 后 显示 如 图 15-107 所 示 对 话 框 ， 单 击 【 确 定 】 按 钮 。 
EEC 
EN 
下 


图 15-107 


gj 返回 程序 控制 台 页 面 ， 在 右 侧 【 选 定 的 计算 机 】 列 表 中 ,，“192.168.1.103” 计 算 机 图 标 被 
勾 选 ， 如 图 15-108 所 示 。 


声 msy9 防毒 坊 网 络 版 ~ Sm an OW 
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图 15-108 

以 上 方法 每 次 只 能 连接 一 个 客户 机 ， 想 要 同时 连接 多 个 客户 机 时 ， 可 以 使 用 如 下 操作 方法 完 

成 。 
在 如 图 15-108 所 示 的 【 域 和 计算 机 】 窗 格 中 显示 了 系统 自动 扫描 到 的 工作 组 网 络 中 的 计算 机 

信息 ， 选 中 需要 添加 的 计算 机 ， 单 击 【 添 加 】 按 钮 ， 可 将 其 加 入 到 右 侧 【 选 定 的 计算 机 】 窗 格 中 ， 
被 选 定 的 计算 机 可 以 通过 单 击 【 安 装 】 按 钮 完成 客户 端 安装 。 

3. 管理 客户 端 

防毒 墙 客户 端 安装 完成 后 ， 需 要 对 这 些 客户 端 进行 管理 。 管 理 客户 端的 具体 操作 步骤 如 下 。 

iD 贡 在 左 侧 列 表 中 选择 【联网 计算 机 】〗 关 【客户 端 管理 】〗】 选 项 ， 展 开 右 侧 【客户 端 管理 】 页 
面 ， 该 页 面 可 以 显示 出 客户 端 计算 机 列表 ， 也 可 以 对 指定 的 计算 机 进行 管理 操作 ， 如 图 15-109 所 


中 小 浒 企业 网 络 管 理 实战 笃 典 一 一 基于 Windows 平台 


入 Imeye 防毒 墙 网 络 版 ~ 


gs 


图 15-109 
to3 选中 一 个 客户 机 ， 单 击 【状态 〗 按 钮 ， 进 入 状态 设置 界面 ， 如 图 15-110 所 示 。 


鸥 势 科 技 防毒 培 网 络 版 里 
OO [En] 


窗 窑 。 儿 :erver? - 直到 科技 防毒 网 络 版 


图 15-110 
四 3 选中 一 个 或 多 个 客户 机 ， 单 击 【 任 务 】 按 钮 ， 弹 出 其 下 拉 列 表 ， 可 以 对 选中 的 客户 机 执 


行 三 种 操作 ， 分 别 是 【立即 扫描 〗、【 客 户 端 印 载 〗 和 【间谍 软件 /灰色 软件 恢复 〗】， 如 图 15-111 
所 示 。 


图 15-111 
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i@ 绰 单 击 【设置 】 按钮 ， 弹 出 其 下 拉 列 表 ， 可 对 客户 机 实施 多 种 设置 内 容 ， 如 图 15-112 所 示 。 


图 15-112 
各 个 下 拉 列 表 选 项 的 含义 如 下 。 


(1) 扫描 方法 
对 客户 端 进行 扫描 的 方法 有 两 种 :【 传 统 扫描 】 和 【【 云 安全 扫描 】〗 考虑 到 安全 时 效 问题 ， 一 
般 建议 选择 【 云 安全 扫描 ]。 如果 依靠 本 地 存储 的 病毒 库 ， 往 往 会 因为 更 新 不 及 时 ， 导 致 有 新 病毒 
出 现时 不 能 及 时 防御 威胁 。 而 云端 存储 的 病毒 库 因 有 互联 网 提供 新 病毒 资源 ， 更 新 会 快 很 多 。 但 是 
如 果 网 络 环境 不 是 很 稳定 ， 为 了 避免 扫描 失败 也 可 以 选择 【传统 扫描 】 如 图 15-113 所 示 。 
tps://server2:4343/ - 扫 撕 方法 ~ Windovs IAARRAN ERARSRGR 


扫描 方法 帮助 
重要 从 一 种 扫描 方法 切 的 到 另 一 种 需要 仔细 规划 和 执行 。 更 改 扫描 方法 之 前 ,请 阅 污 以 下 人 准则。 


扫 撕 方法 
传统 扫描 


传统 扫描 使 用 在 端点 本 地 存储 的 防 悉 意 软件 和 防 间 谋 软 件 组 件 。 


6 二 安 全 二 安 
全 扫描 


图 15-113 


(2) 手动 扫描 设置 

当 发 现 威胁 时 ， 管 理 员 可 以 手动 进行 病毒 扫描 。 管 理 员 手 动 扫 描 时 ， 使 用 本 项 配置 。 主 要 分 
为 两 部 分 : 【目标 】 和 【处 理 措施 ])， 下 面 分 别 做 介绍 。 

如 图 15-114 所 示 ,【 目 标 】 主 要 用 于 确定 扫描 对 象 .【 要 扫描 的 文件 】 选 项 用 于 指定 需要 扫描 
的 文件 类 型 ， 默 认 选择 【IntelliScan】 单 选 按钮 。〖 扫描 设 置 】 选 项 用 于 指定 特殊 扫描 设置 ， 比 如 压 
缩 文 件 的 扫描 深度 、 是 否 扫描 隐藏 文件 等 。 


.423 。 
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图 15-114 
如 图 15-115 所 示 ,【 处 理 措施 】 用 于 确定 如 何 处 理 扫 描 出 的 病毒 、 木 马 。 可 根据 需求 进行 配置 ， 


一 般 选择 默认 值 。 
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手动 扫描 设置 
目标 「 好 天福 刻 
人 
人 合用 ActiveAction 四 
厂 针对 可 能 的 全 过/ 秋 意 状 什 的 定制 折 作 : [本 让 可 


对 理 有 靖 坦 / 亚 意 软件 类 型 使 用 相 同 二 处 于 措施 
匣 果 寺 择 “ 清 险 ”， 清 指定 湾 队 处理 拉 芳 二 成 功 时 防毒 过 网 络 版 村 采取 的 第 二 处 理 措施) 
站 型 第 1 处 程 溢 施 划 ”处 理 播放 


区 [和 | 
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保守 | _ 取消 加 | 

图 15-115 


(3) 实时 扫描 设置 
日 常 应 用 中 ， 反 病毒 程序 会 实时 监控 网 络 状态 ， 防 止 病毒 、 木 马 攻击 。 实 时 监控 网 络 安全 状 
态 的 扫描 采用 如 图 15-116 所 示 设 置 。 


企业 反 病 毒 ” 第 15 剖 


4343/ - 实时 扫 撕 设置 -Vinders Intersee ER 


实时 扫描 设置 加 才 助 
友 启用 病毒 /天 言 软件 扫 擅 
到 启用 辣 涝 软件 /区 色 软 件 扫 北 
目标 “| 处 理 措施 
用 户 对 文革 行 的 活动 a 
所 着 正在 进行 以 下 党 作 向 文件 ，|[ 同 时 / 丰 下 和 和 素 可 
要 提 扩 的 文件 
个 所 有 可 扫 擅 文件 
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提 擅 设置 
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图 15-116 


(4) 预 设 扫描 设置 
为 了 安全 ， 经 常会 设置 一 些 定时 的 扫描 任务 ， 这 类 任务 称 作 预 设 扫描 任务 ， 采 用 如 图 15-117 
所 示 设 置 。 
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后 orz 利用 村 测 


病 过 /和 意 软 件 扫 共 起 轩 


| mw | 


图 15-117 
(5) 立即 扫描 设置 
如 图 15-118 所 示 ， 配 置 完 本 项 设置 后 ， 系 统 会 直接 应 用 该 项 进行 扫描 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


图 15-118 


5 单 击 【 日 志 】 按 钮 ， 弹 出 其 下 拉 列 表 ， 可 以 通过 多 项 设置 进行 日 志 管理 ， 选 择 【 病 毒 / 
恶意 软件 日 志 条 件 】 选 项 ， 如 图 15-119 所 示 。 


图 15-119 


tQ6j 弹出 【病毒 /恶意 软件 日 志 条 件 〗 页 面 ， 如 图 15-120 所 示 ， 可 以 设 定 记录 日 志 的 条 件 ， 
默认 记录 七 天 内 的 所 有 扫描 类 型 的 日 志 ， 并 按照 时 间 进 行 排序 保存 ， 单 击 【显示 日 志 】 按 钮 ， 可 以 
查看 已 存 日 志 。 
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一 病夫 / 秋 塌 软 首 日 去 条 件 vindows InterneU ETE| 


条 件 


C 范 轩 


克 损 宕 清除 服务 
排序 依据 : [ 百 蚌 /本 亲 。 司 
显示 日 志 | 关闭 


图 15-120 


i 罚 如 图 15-121 所 示 ， 单 击 【 管 理 客户 端 树 】 按 钮 ， 弹 出 其 下 拉 列 表 ， 有 多 项 配置 可 以 用 于 
管理 客户 端 树 。 这 些 项 目 主要 用 于 层次 化 的 管理 客户 端 。 


管理 客户 端 树 按钮 


图 15-121 


(1) 添加 域 
如 图 15-122 所 示 ， 在 【域名 】 文 本 框 中 可 以 输入 新 的 区 域名 ， 该 区 域名 可 以 按照 部 门 、 职 能 、 
地 理 进 行 添加 ， 输 入 完成 后 单 击 【添加 】 按 钮 。 


图 15-122 


如 图 15-123 所 示 ， 新 添加 了 一 个 区 域 ， 名 为 “Serverl ”。 


“427 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 基于 Windows 平台 


EO- Et 
空 安 硬 -ve - 起 罗 和 HKW 去 培 络 版 | 1 
例 允 多 8， 防毒 墙 网 络 版 ” 


Ss ere 


立即 扫 基 所 有 域 


[ | [| [ [SY [aas -及 


图 15-123 


(2) 移动 客户 端 


添加 了 新 区 域 后 ， 需 要 把 对 应 的 客户 端 加 入 到 该 域 。 首 先 选择 指定 的 客户 端 ， 选 择 【 移 动 客 


户 端 】 菜单 命 令 ， 在 弹出 的 【移动 客户 端 ) 页 面 选择 指定 的 区 域名 ， 如 图 15-124 所 示 ， 单 击 【 移 
动 】 按 钮 。 


移动 的 目标 域 


“Serverl” 


厅 将 新 城 的 设置 应 用 及 秆 定 的 客户 六 
个 格 选 定 的 客户 端 移动 到 另 一 个 防毒 墙 网 络 版 服务 器 
| i 


JOTP 端口 号 


EE 


图 15-124 
移动 成 功 ， 己 经 将 一 台 窜 户 机 移动 到 了 “Server1” 区 域 中 ， 如 图 15-125 所 示 。 


企业 反 病 毒 ”第 15 剖 


GO Es ne IE [2[] 
证 帝 居 :evez - 科技 护 毒 二 同 版 jel | 会 -” 
了 侈 RN9 ; 防毒 墙 网 络 版 Bs 全 


EE 


sl 
[ TT BY [Ra 
图 15-125 


4. 爆发 阻止 


当 网 络 中 某 一 主机 感染 病毒 后 ， 如 果 不 及 时 处 理 ， 很 可 能 会 散播 到 全 网 络 ， 造 成 巨大 的 损失 。 
此 时 ， 只 要 将 该 主机 从 当前 网 络 中 断 开 ， 单 独 查 杀 病毒 即 可 解决 问题 。 

通过 趋势 科技 网 络 版 防毒 墙 可 以 进行 网 络 扫描 ， 及 时 发 现 感染 病毒 的 主机 ， 同 时 可 以 利用 其 
【爆发 阻止 】 功 能 将 被 感染 主机 网 络 暂 时 断 开 ， 进 行 病 毒 清 理 。 如 图 15-126 所 示 ， 具 体 的 操作 方 
法 为 : 在 左 侧 列表 中 选择 【联网 计算 机 】>【 爆 发 阻止 】 选 项 ， 右 侧 显 示 【 爆 发 阻止 】 窗 格 ， 在 列 
表 中 指定 需要 开启 【爆发 阻止 】 功 能 的 计算 机 ， 单 击 【 启 动 爆发 阻止 】 按 钮 即 可 。 


"7 - 莉 势 科技 防 棵 榈 网络 版 - window 


例 TS89 ;防毒 墙 网 络 版 ” 


ee 


搜索 计算 W A 


服务 器 CED:t2308822-131t 
Ts 启动 爆发 阻止 


EE 而 而 cE Er 


从 老 户 济 香 中 选择 域 吉 计算 机 | 


图 15-126 
15.3.3 ”使 用 趋势 科技 软件 进行 全 网 杀毒 


在 使 用 趋势 科技 进行 网 络 杀毒 时 ， 主 要 有 两 种 方式 ， 分 别 是 : 管理 员 统一 全 网 杀毒 和 客户 机 
自主 杀毒 。 


1. 全 网 同步 杀毒 


当 网 络 中 感染 病毒 后 ， 只 是 单一 的 对 个 别 主机 进行 病毒 查 杀 并 不 能 彻底 清除 病毒 ， 当 病毒 突 
然 爆发 时 , 依靠 计划 任务 也 不 现实 , 这 就 需要 管理 员 进行 全 网 同步 杀毒 操作 。 具体 的 操作 步骤 如 下 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


i0 贡 如 图 15-127 所 示 ， 选 择 程序 主页 面 左 侧 列表 中 的 【立即 扫描 所 有 域 】 选 项 ， 弹 出 【立即 
扫描 】 页 面 ， 可 以 实现 全 网 病毒 扫描 . 


/3 :erver2 - 趋势 科技 防毒 培 同 络 版 -Yinders Interne er DG 本 
GO Er x [Le Ee 
普 认 名 :errer2 - 赵 弘 科技 贡 雪 过 9 络 版 | 到 | | 仿 - 
立即 扫描 所 有 域 下 Bm Bik 


ETE 7 7 
BB: 192 168.1. 103 
| 
[ TT GV [Ra -| 


图 15-127 


上 922 如 图 15-128 所 示 ， 在 该 页 面 中 选择 需要 扫描 的 计算 机 ， 单 击 【 启 动 立即 扫描 】 按 钮 ， 开 
始 扫 描 。 


SEEEEEECTTETCOITCOESGS 

Bu Bm 
it 行 拉夫 ， 语 单 击 启动 立 芭 扫 奖 。 要 在 局 埃 反 培 前 配置 设 置 ， 请 单 击 设置 

me 


192.168.1.103 ”43861 。 workeroup\ 联机 S2325ce5-2094-481| 
192.168.1.102 43861 。 Workgro- 联机 55sTbT4e-6s62-431 


图 15-128 
io3j 扫描 结束 后 ， 弹 出 一 个 信息 提示 框 ， 如 图 15-129 所 示 ， 提 示 用 户 确认 收 到 通知 的 客户 端 
只 有 一 个 ， 另 一 个 可 以 尝试 重新 连接 扫描 。 
对 


15-129 
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还 可 以 在 程序 主 界面 中 选择 【联网 计算 机 】〗 关 【客户 机 管理 】 选 项 ， 在 右 侧 窗 格 中 选 
择 所 有 计算 机 ， 单 击 【任务 〗 下 来 菜单 的 【立即 扫描 〗 菜 单 命令 实现 全 网 扫描 ， 如 图 
提 示 国 53501 寺 


图 15-130 


2. 客户 端 程序 杀毒 

当 客户 机 感染 病毒 后 ， 为 了 及 时 清理 ， 用 户 可 以 手动 对 自己 的 主机 进行 病毒 查 杀 ， 具 体 的 操 
作 步 骤 如 下 。 

io 由 运行 趋势 科技 客户 端 防毒 软件 ， 弹 出 如 图 15-131 所 示 的 对 话 框 ， 在 【手动 扫描 】 选 项 卡 
中 勾 选 需要 扫描 的 驱动 器 符号 ， 单 击 【 扫 描 】 按 钮 ， 开 始 扫描 选择 驱动 磁盘 。 
SE] 


EECITI 
驱 势 科技 ”防毒 填 网 络 版 


手 s0 提 新 | 于 雪夫 结果 | 邮件 3 起 | 日志 | 工具 条 | 
要 和 n 日 录 / 文 件 夫 
BEL 


选择 扫描 “我 的 电脑 ” 


图 15-131 
四 2 扫描 完成 后 ， 在 【手动 扫描 结果 】〗 选 项 卡 中 显示 了 扫描 结果 ， 如 图 15-132 所 示 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 具 于 Windows 平台 


EEEEEREITI 


二 可 zl 
趋势 科技 ”防毒 墙 网 络 版 ” 


图 15-132 
03j 选择 【邮件 扫描 】〗 选 项 卡 ， 在 打开 的 界面 中 勾 选 【从 邮件 服务 器 下 载 POP3 邮件 和 附件 
行 扫描 】 复 选 框 ， 开 启 邮 件 扫描 功能 ， 如 图 15-133 所 示 。 


a 设置 区 姑 肋 QD 
“站 - 趋 


是 进 


EE 
交 势 科技 ”防毒 墙 网 络 版 ” 
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Tars 好 生 拉 
NT 


六 关押 扣 六 省 
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和 导 内 文 M0 处理 执 记 后 本 习 
无法 消除 六 对 的 处 理 堆放 
尼 商 哆 几 肥 蝇 文 人 


ns 
Waroroft 0utlodk 脚 件 所 六 
从 提 折 要 序 可 后 和 摧 攻 箱 ， 保 护 人 人 erosef: oot ooh 好 简直 爱 
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局 


CE ww | 
图 15-133 


选择 【日 志 】 选 项 卡 ， 如 图 15-134 所 示 ， 在 选项 卡 界面 中 选择 日 志 类 型 ， 并 指定 日 期 范 
围 ， 单 击 【 查 看 日 志 】 按 钮 ， 可 以 翻阅 日 志 查找 故障 。 


巫 想 昕 | 
驱 势 科技 ”防毒 声 网 络 版 ” 


手动 扫 基 | 手动 扫 当 洁 果 | 邮件 所 挨 日 才 。 | 工具 条 | 


WA: ” 习 /Fi 当 /Foc  ” 当 
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全 sv 
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图 15-134 
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Os 由 于 日 志 占用 的 空间 会 越 来 越 大 ， 用 户 可 以 单 击 【 编 辑 】 按 钮 进行 日 志 维护 。 


提 


旨 


15.4 专家 答疑 


(1) 企业 架设 了 反 病 毒 系统 ， 为 什么 还 总 是 有 大 量 病毒 传播 ? 

答 : 架设 了 反 病 毒 系统 后 ， 没 有 达到 病毒 防护 的 原因 有 以 下 几 点 。 首 先 ， 可 能 是 企业 网 络 感 
染 了 新 的 病毒 ， 而 病毒 库 没 有 得 到 及 时 更 新 ， 导 致 该 病毒 无 法 被 发 现 。 其 次 ， 架 设 企 业 反 病毒 系统 
时 ， 必 须要 保证 所 有 主机 都 处 于 企业 反 病 毒 系统 中 ,如 果 部 分 新 加 主机 没有 配置 反 病 毒 客户 端 ， 很 
可 能 成 为 整个 网 络 病毒 肆虐 的 源头 , 即便 是 网 络 管理 员 一 再 的 查 杀 , 但 是 始终 清除 不 了 这 些 主机 的 
安全 隐患 。 再 次 ， 反 病毒 系统 架设 好 之 后 ， 要 配置 合理 的 病毒 查 杀 计划 任务 ， 并 要 定期 手动 全 网 查 
杀 病 毒 ， 病 毒 查 杀 配 置 可 以 设置 为 深度 扫描 。 最 后 ， 网 络 管理 员 需 要 规范 员工 的 上 网 行为 和 计算 机 
使 用 行为 ， 从 根源 上 减少 计算 机 病毒 流入 网 络 。 

(2) 反 病 毒 系统 程序 升级 和 病毒 库 更 新 为 什么 总 是 出 现 失 败 ? 

答 : 首先 要 强调 的 是 ， 反 病毒 程序 和 病毒 库 必须 要 及 时 更 新 ， 如 果 不 能 更 新 ， 要 及 时 解决 问 
题 。 出 现 更 新 失败 的 主要 原因 有 以 下 几 点 。 首 先 ， 可 能 是 程序 的 注册 信息 过 期 或 错误 ， 需 要 找 客 服 
询问 ， 或 到 其 产品 官网 更 新 注册 信息 。 其 次 ， 可 能 是 反 病 毒 系统 无 法 连接 到 更 新 服务 器 ， 可 以 查看 
其 更 新 服务 器 的 地 址 配置 是 否 正确 ,如 果 不 确 定 可 以 指定 自动 获得 服务 器 地 址 或 者 到 官网 查询 更 新 
服务 器 地 址 。 再 次 ， 本 地 网 络 连 通 性 也 会 影响 更 新 ， 可 以 使 用 PING 命令 检测 服务 器 是 否 连通 。 最 
后 ， 也 有 可 能 是 系统 服务 冲突 ， 但 是 一 般 不 会 出 现 冲突 现象 ， 如 果真 是 ， 可 能 需要 进行 详细 的 系统 
分 析 。 
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传统 的 网 络 一 般 局 限于 一 定 的 区 域内 ， 即 便 一 个 企业 的 多 个 分 支 机 构 需要 跨越 区 域 互 联 ， 也 
会 采用 帧 中 继 、 专 线 等 广域网 技术 进行 连接 。 但 由 于 传统 方式 费用 高 ， 架 设 复 杂 ， 很 难 满足 日 益 增 
加 的 网 络 应 用 需求 ， 需 要 有 更 便捷 、 更 安全 ， 更 节约 的 方式 进行 跨 区 域 分 支 连接 。VPN 虚拟 专用 
网 技术 就 应 运 而 生 了 。 


16.1 VPN 技术 介绍 


VPN 技术 从 产生 至 今 ， 得 到 了 飞速 的 发 展 和 社会 的 认可 ， 各 行 各 业 都 在 使 用 这 项 技术 ， 它 的 
出 现 使 得 帧 中 继 和 专线 技术 几乎 被 淘汰 。 


16.1.1 ”VPN 技术 概述 


VPN(Virtual Private Network)， 即 虚拟 专用 网 络 ， 该 技术 用 于 实现 局 域 网 络 之 间 通 过 Intemet 
公共 网 络 安全 地 传递 数据 。 

互联 网 是 目前 最 大 的 公共 网 络 ， 其 内 有 充足 的 资源 可 以 利用 。VPN 技术 就 是 利用 这 一 点 ,在 
Internet 公共 网 络 内 部 构建 一 条 虚拟 的 连接 广域网 中 不 相 邻 的 两 个 局 域 网 的 链 路 ， 该 链 路 可 以 实现 
数据 安全 可 靠 的 传输 。 

VPN 技术 的 特征 可 以 总 结 为 以 下 几 点 。 


(1) 在 混杂 的 公用 网 络 (通常 是 Internet 网 络 ) 中 建立 一 条 临时 的 、 安 全 的 连接 ， 是 一 条 横 
穿 公用 网 络 的 安全 、 稳 定 的 隧道 。 

(2) 具有 强大 的 安全 加 密 技术 。 

(3) 可 用 于 满足 企业 内 部 网 络 扩展 的 需求 ， 允 许 与 远程 用 户 、 分 支 机 构 和 商业 伙伴 的 内 部 网 
络 商 建立 安全 可 靠 的 连接 。 

(4) 解决 了 不 断 增长 的 移动 办 公用 户 互联 网 访问 需求 的 问题 。 


16.1.2 ”VPN 的 优点 


VPN 技术 和 传统 的 网 络 互联 技术 比较 起 来 有 很 多 优势 ， 比 如 解决 了 长 距离 通信 的 费用 成 本 ， 
充分 利用 了 互联 网 资源 ， 可 以 实现 快速 、 安 全 的 网 络 扩展 。 下 面 以 传统 网 络 中 使 用 比较 多 的 DDN 
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专线 技术 和 VPN 技术 作 上 比较。 
1. DDN 技术 


使 用 DDN 专线 技术 需要 在 两 端 局 域 网 之 间 建 立 一 条 与 互联 网 隔离 的 物理 连接 链 路 ，DDN 专 


线 技术 存在 费用 高 、 灵 活性 差 、 广 域 网 的 管理 


扑 图 。 


E、 拓 扑 结构 复杂 等 缺点 。 如 图 16-1 所 示 为 其 网 络 拓 


2. VPN 技术 


VPN 技术 连接 时 , 只 要 确保 两 端 都 可 以 连接 互联 网 即 可 实现 , 如 图 16-2 所 示 为 其 网 络 拓扑 图 。 


( -| We 


VPN 连 接 


公司 总 部 


互联 网 访问 


子 公司 网 络 


图 16-2 


VPN 技术 存在 费用 低 、 灵 活性 好 、 网 络 管理 简单 等 优点 ， 使 用 VPN 技术 的 优势 如 下 。 
(1) 节省 资金 VPN 技术 免 去 了 长 途 连 接 的 费用 ， 降 低 了 30%~70% 建 立 私有 专 网 的 费用 。 


(2) 用 户 连接 不 受 地 点 、 网 络 接 入 方式 


的 限制 ， 只 要 用 户 愿意 ， 可 以 增加 多 条 连接 链 路 。 


(3) 提供 安全 性 : 具有 强大 的 用 户 认证 机 制 ， 可 以 有 效 地 保障 用 户 数 据 的 安全 性 、 完 整 性 。 


(4) 配置 便捷 ， 不 需要 对 现 有 网 络 结构 及 应 用 程序 做 调整 。 直 接 在 现 有 环境 基础 上 增加 VPN 
配置 即 可 ， 对 于 最 终 用 户 来 说 不 会 感觉 到 任何 变化 。 


“435。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 苦于 Windows 平台 


16.1.3 ”VPN 技术 的 工作 原理 
VPN 技术 主要 依靠 认证 加 密 和 隧道 技术 来 实现 ， 如 图 16-3 所 示 为 其 工作 原理 图 。 


VPN 隧 道 


- 


图 16-3 
实现 VPN 连接 时 使 用 了 以 下 几 种 技术 。 


(1) 安全 隧道 技术 : 隧道 是 在 公共 网 络 上 传递 私有 数据 的 一 种 方式 ， 而 安全 隧道 是 在 公 网 上 
儿 个 局 域 网 之 间 进 行 数据 传输 时 ， 保 证 数据 安全 及 完整 的 技术 。 

(2) 信息 加 密 技术 : 用 于 实现 传输 过 程 中 数据 的 安全 ，VPN 技术 采用 了 多 种 加 密 技术 ,而 且 
可 以 支持 多 种 加 密级 别 。 

(3) 用 户 认 证 技术 : 用 于 确保 VPN 通信 方 的 身份 及 合法 性 。 

(4) 访问 控制 技术 : 用 于 限制 VPN 的 通信 双方 的 信息 流 。 

VPN 技术 在 建立 隧道 时 可 以 构建 二 层 隧道 和 三 层 隧 道 ， 分 别 涉及 以 下 协议 。 

(1) 二 层 隧道 VPN 

e@ L2TP (Layer 2 Tunnel Protocol ): 二 层 隧 道 协议 ， 用 于 实现 二 层 隧 道 的 建立 。 

e@ PPTP (Point To Point Tunnel Protocol ): 点 到 点 隧道 协议 。 

e@ L2F (Layer 2 Forwarding ): 用 于 实现 二 层 隧道 数据 转发 。 

(2) 三 层 隧 道 VPN 

@ GRE (General Routing Encapsulation );” 用 于 实现 三 层 隧 道 的 建立 。 

ee IPSec ( 卫 Security Protocol ): IP 安全 协议 ， 用 于 实现 三 层 隧 道 转发 时 数据 的 安全 加 密 、 认 证 。 


16.1.4 VPN 技术 分 类 


VPN 技术 根据 两 端的 连接 主体 不 同 ,可 以 分 为 两 种 连接 方式 : 远程 访问 的 VPN 和 站 点 到 站 点 
的 VPN。 
远程 访问 的 VPN 适用 于 建立 临时 性 的 VPN 连接 ， 家 庭 和 移动 办 公用 户 使 用 的 比较 多 。 只 需 
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要 企业 网 络 中 配置 有 软件 或 硬件 形式 的 VPN 设备 ， 移 动 或 家 庭 办 公用 户 就 可 以 通过 自己 的 客户 端 
操作 系统 直接 建立 VPN 连接 请 求 。 

站 点 到 站 点 的 VPN 连接 可 以 建立 长 期 的 VPN 连接 ， 适 合 公司 总 部 和 子 公司 之 间 长 期 进行 数 
据 传输 。 需 要 两 端 网 络 中 都 有 配置 好 的 VPN 软件 程序 或 硬件 设备 ， 并 且 有 匹配 的 认证 加 密 配置 。 
如 图 16-4 所 示 为 两 种 连接 方式 的 网 络 拓 补 图 。 


站 点 到 站 点 VPN Dooo0 


远程 访问 VPN 六 家 庭 办 公用 户 


移动 办 公用 户 


公司 总 部 网 络 


图 16-4 


16.2 基于 Windows 的 远程 访问 VPN 


基于 Windows 的 远程 访问 VPN 的 技术 一 般 适用 于 在 外 出 差 或 家 庭 办公 的 用 户 访问 企业 内 部 网 
络 ， 如 图 16-5 所 示 为 其 网 络 拓扑 结构 图 。 


192.168.1.1 


\ VN ES 
图 六 一 Internet >—77 人 条 号 > 
企业 内 网 G119293100 SE --” 


移动 及 家 庭 办 公用 户 
图 16-5 


16.2.1 配置 远程 访问 功能 


基于 Windows 的 远程 访问 VPN 功能 主要 是 通过 配置 “路 由 和 远程 访问 ”管理 工具 实现 的 ， 下 
面 介绍 详细 配置 方法 。 


1. 开启 远程 访问 功能 


首先 需要 在 企业 网 络 出 口 的 服务 器 上 开启 “路 由 和 远程 访问 ”功能 ， 具 体 的 操作 步骤 如 下 。 


中 小 蜡 企 业 网 络 管 理 实战 室 典 基于 Windows 平台 


01 在 桌面 选择 【开始 】>【 程 序 】>【 管 理工 具 】>【 路 由 和 远程 访问 】 菜 单 命令 ， 如 图 
16-6 所 示 。 


> indors cataos 


7】 Winaows Update 


Internet Explorer 
Outlook Express 
5-， 远程 协助 


图 16-6 


03j 弹出 【路 由 和 远程 访问 】〗 窗 口 ， 默 认 路 由 和 远程 访问 功能 不 开启 ， 图 标 显 示 有 红色 向 上 
箭头 , 右 击 路 由 和 远程 访问 本 地 服务 器 图 标 ， 在 弹出 的 快捷 菜单 中 选择 【配置 并 启用 路 由 和 远程 访 
问 】 菜 单 命令 ， 如 图 16-7 所 示 。 


29x 
文件 代谢 作 (W) 查看 W) 帮助 0 | 
和 +| 因 | 辆 |X* 略 日 | 久 团 | 


[sm | 
服务 器 的 配 。。 


大 用 路 出 和 运程 访问 


所 有 任务 8 Ls 


问 ， 在 “操作 ” 莱 单 上 


由 和 远程 访问 ”。 
查看 中 划 访 问 ， 部 署 方案 ， 以 及 
FE ， 请 参阅 帮助 
中) 

展 性 加 


图 16-7 
I03) 弹出 开启 服务 向 导 对 话 框 ， 如 图 16-8 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 
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路 由 和 远程 访问 最 务 器 安装 条 导 
欢迎 使 用 路 由 和 远程 访问 服务 器 安装 向 导 


加 此 向 导 帮 助 悠 设置 服务 器 ， 使 您 可 以 连接 到 其 它 网 络 
并 多 许 来 自 还 程 客户 续 的 连接 。 


和 要 继 续 ， 请 单 击 “ 下 一 步 ”。 


ED we | 
图 16-8 
04j 弹出 【配置 】 对 话 框 ， 由 于 本 机 属于 出 口 设备 需要 同时 具有 路 由 的 NAT 功能 和 VPN 


功能 ， 所 以 选择 【虚拟 专用 网 (VPN ) 访问 和 NAT] 单 选 按钮 ， 单 击 【 下 一 步 】〗】 按 钮 ， 如 图 
16-9 所 示 。 


路 由 和 运程 访问 服务 器 安装 身 导 


配置 
您 可 以 局 用 下 列 服务 的 任意 组 合 ， 或者 您 可 以 自 定 义 此 服务 器 。 Da] 


个 远程 访问 驴 号 或 YPND @@) 
7 (VEN) Internet 连接 来 连接 到 


个 网 络 地 址 转换 QAT) (E) 
区 许 内 名 客户 哺 使 用 一 个 公 : 
6 HE 


下 


个 两 个 专用 网 络 之 同 的 安全 连接 E) 
将 此 网 络 注 接 到 一 个 远程 网 络 ， 例 如 一 个 分 支 办 公 室 。 


地 址 连接 到 Internet。 


地 客户 端 使 用 一 个 单一 的 


个 自 定义 配置 C) 

选择 在 路 由 和 运程 访问 中 的 任何 可 用 功能 的 姐 合 . 
有 关 这 些 寺 项 的 更 多 信息 ， 请 参阅 除 册 和 运程 访 问 帮 动 . 虚拟 专用 网 络 (VPN) 
访问 和 NAT 
阳光 


图 16-9 


I05) 弹出 【VPN 连接 〗 对 话 框 ， 在 网 络 接口 窗 格 中 显示 了 本 地 的 两 个 网 卡 信息 ， 选 择 外 网 网 
卡 ， 如 图 16-10 所 示 ， 单 击 【 下 一 步 】〗】 按 钮 。 


中 小 型 企业 网 络 管 理 实战 室 典 -基于 Windows 平台 


EREEEETEEEEEE 


ws 连 这 
要 旬 许 WE 客户 读 连 六 到 此 服务 器 ,至少 要 有 一 个 网 络 接口 过 接 到 Da] 
nternetr 


连 振 格 比 服 务 器 广 反 到 Iaternet 的 同 结 接口 
Pia 
志和 TE J 下 地址 ] 
内 网 


通过 设 秆 基本 防火 垣 来 对 选择 的 接口 进行 保护 FE)。 
基本 防火 二 防止 玉 托 梭 的 用 户 通 过 Interaet 访问 此 服务 器 , 


有 头 网 入 接口 的 更 之 信息 ,请 参 间 徐 册 于 生 访问 本 助 - 


《< 上-- 步 四 [下 - 步 四 让 取 汐 


图 16-10 


tQ6j 弹出 【IP 地 址 指定 〗 对 话 框 ， 选 择 【 来 自 一 个 指定 的 地 址 范围 】 单 选 按钮 ， 如 图 16-11 
所 示 ， 使 远程 移动 VPN 客户 端 主机 使 用 指定 的 耳 地 址 访问 内 网 ， 单 击 【 下 一 步 〗 按 钮 。 


路 由 运程 访问 服务 器 安 装 稍 导 


了 地 址 的 定 a 
你 可 以 思拓 对 远程 客 户 这 指派 I? 地 直角 方法 。 Ds 
你 起 加 何 对 和 客户 入 指 谣 IP 地 让? 

三 BD) 
Nt UB 正确. 各 果 没有 全 
Ei 
站 


4-5 [下 - 步 四 计 Ww 


图 16-11 


0W 弹出 【地 址 范围 指定 〗】 对 话 框 ， 如 图 16-12 所 示 ， 单 击 【 新 建 〗 按 钮 ， 创 建 远程 VPN 客 
户 机 可 以 使 用 的 地 址 段 。 


ETEETEEERTE 


培 址 范围 指 定 
您 可 以 指定 此 服务 吕 用 来 对 运程 客 忆 英 指 诉 地 址 的 地 址 范围. De isa | 


外 人 全 于 9 种 老 池 )。 在 用 到 下 一 个 之 痢 ， 此 服务 器 将 用 第 一 
坟 址 范围 罗 : 
从 ] 到 | 要 目 


ET 7 el CA 


《上 一 步 四 | 一生 加 让 了 消 


图 16-12 
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W038) 弹出 【新 建 地 址 范围 】 对 话 框 ， 在 【起 始 耳 地 址 〗 和 【结束 卫 地 址 】 文 本 框 中 配置 地 
址 范围 ， 本 实例 采用 “192.168.1.100~192.168.1.200” 地 址 段 ， 在 【地 址 数 〗 文 本 框 显 示 了 可 用 地 
址 数量 ， 如 图 16-13 所 示 ， 单 击 【 确 定 】〗 按 钮 。 
| 


输入 一 个 起 始 了 地 址 , 和 结束 地 地 址 或 范围 中 的 地 址 数 。 


起 始 IP 地 址 加 - 192.168. 1 .100 
结束 I 地 址 四; 192 .168. 1 -200 


地 址 数 加 101 


Cae |] ws | 
图 16-13 


to9j 返回 【地 址 范围 指定 〗 对 话 框 ， 在 【地 址 范围 】 列 表 中 显示 了 新 建 的 地 址 段 ， 如 图 16-14 
所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


路 由 和 远 各 访问 服务 器 安装 向导 


地 址 藻 轩 指定 对 
娩 可 以 指定 此 服务 器 用 来 对 运程 户 注 指 地 址 的 地 址 范围. 口 m] 


和 


地 址 范围 0); 
从 


闲 建 加 .| 的 备 中 | 入 


.| 
图 16-14 
蜡 9j 弹出 【管理 多 个 远程 访问 服务 器 〗 对 话 框 ， 可 以 配置 远程 客户 端 身份 认证 的 方式 ， 由 于 
本 地 没有 配置 RADIUS 服务 器 ， 选 择 【 否 ， 使 用 路 由 和 远程 访问 来 对 连接 请 求 进行 身份 验证 〗 单 
选 按钮 ， 如 图 16-15 所 示 ， 单 击 【 下 一 步 〗 按 钮 。 
"ee 
次 


I 只 因 ,他 了 以上 可 和 加 检验 证 放 


您 想 设置 此 服务 器 与 EAITVS 服务 器 一 起 工作 三 ? 
光 ， 仿 用 路由 和 元 程 访 站 来 区 这 楼 清 求 进行 身份 验证 六 | 
人 是 ， 起 秆 此 服务 类 与 RATIS 服务 问 一 起 工作 GD) 


ss a 


图 16-15 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


加 各 配置 完成 ， 显 示 配 置 的 摘要 信息 ， 如 图 16-16 所 示 ， 单 击 【 完 成 〗 按 钮 。 


正在 充 成 这 由 和 远程 访问 服务 各 认 半 向导 


次 忆 成功 完成 路 出 和 这 程 访 问 服务 器 安 转向 手 。 


清单 击 “完成 ” 来 关 闭 此 应 导 . 


国 


图 16-16 
加 2 弹出 DHCP 消息 中 继 提 示 框 ， 如 果 人 允许 远程 VPN 客户 端 通 过 企业 内 网 的 DHCP 获得 地 
址 ， 路 由 和 远程 访问 配置 时 必须 做 DHCP 中 继 配 置 ， 单 击 【 确 定 】〗 按 钮 ， 如 图 16-17 所 示 。 
4 
a mc 下 和 蝇 的 开 二 


确定 帮助 
图 16-17 
加 3 路 由 和 远程 访问 服务 开启 ， 该 服务 包括 多 种 配置 信息 ， 如 图 16-18 所 示 。 
SE 
文件 四 换 作 Q) 查看 W) 各 助 0 
+* 小 | 加 | 名 团 
| 
服务 器 状态 
Tp 次 迎 使 用 路 由 和 远程 访问 
盟 六 路 由 和 远程 访问 提供 到 专用 网 络 的 安全 远程 访问 。 
I i 可 用 路 由 和 远程 访问 未 配置 下 列 : 


一半 8 由 
THC 中 继 代理 程序 
To 

重 mr/ 基 本 防火 寺 

由 营运 程 访问 第 略 

生生 远程 访 问 记录 


两 个 考 用 网 络 之 间 的 安全 连接 。 
* 虚拟 考 用 网 络 (YPI) 网 关 。 
"拨号 远程 访问 服务 器 。 
* 网 络 地 址 转换 (NAT) 。 
“LAN 路 由 。 
， 一 个 基本 防火 墙 。 
和 在 “操作 ” 蘑 单 ， 单 击 “ 添 加 


有 关 安 装 路 由 和 远程 访问 ， 部 署 方 案 ， 以 及 疑难 解答 的 更 多 信息 ， 
请 参阅 帮助 。 


J 


2. 认识 路 由 和 远程 访问 


图 16-18 


开启 路 由 和 远程 访问 后 ， 为 了 方便 以 后 维护 管理 ， 还 需要 对 其 相关 参数 进行 配置 。 
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(1) 网 络 接口 

该 选项 显示 了 当前 主机 的 网 络 接口 数量 及 其 功能 ， 不 需要 做 配置 。 

(2) 端口 

用 于 配置 客户 端 可 以 使 用 的 连接 端口 类 型 及 数量 ， 具 体 的 配置 操作 步 又 如 下 。 


td 在 左 侧 选 项 列表 中 右 击 【 端 口 〗 选 项 ， 在 弹出 的 快捷 菜单 中 选择 【属性 〗 菜 单 命令 ， 如 
图 16-19 所 示 。 
文件 四 换 作 外， 查看 中。 帮助 四 
听 +| 和 | 加 | 办 日 忆 | 岛 国 


EA 

外 国运 
yy WMO Grr) Or wm Ms/ 路 由 。。 不 活动 
yy M9 rp) or ve Ms/ 吕 由 。。 不 活动 
六 ww BD rTP) Or ve Ms/ 如 由 。。 不 活 


图 16-19 


02 弹出 【端口 属性 〗】 对 话 框 ， 显 示 了 可 以 使 用 的 连接 端口 类 型 ， 有 PPPoE、PPTP、L2TP 
和 并 行 四 种 ，PPPoE 为 用 户 拨号 连接 ， 一 般配 置 PPTP 和 L2TP 即 可 ， 选 择 PPTP 选项 ， 单 击 【 配 
置 〗】 按 钮 ， 如 图 16-20 所 示 。 


设备 | 
路 由 和 远程 访问 RRAS) 使 用 下 列 设备 。 


YAN 微型 端口 “(PPPOE) 
WAN 


图 16-20 


to3j 弹出 【配置 设备 -WAN 微型 端口 (PPTP ) 】 对 话 框 ， 默认 配置 允许 远程 访问 连接 ， 【最 
多 端口 数 〗 文 本 框 可 以 配置 允许 使 用 PPTP 端口 连接 的 客户 端 数量 ， 默 认为 128 个 ， 全 部 使 用 默认 
配置 ， 单 击 【 确 定 】 按 钮 ， 如 图 16-21 所 示 。 


中 小 型 企业 网 络 管 理 实 战 泽 典 一 一 花 于 Windows 平台 


本 可 
您 可 以 使 用 此 设备 进行 远程 访问 请 求 技 号 连接 。 


[ei LL 
民 请 求 拨号 路 由 选择 连接 (入 站 和 出 | 
厂 请求 技 号 路 由 连接 ( 仅 纪 站 ) 2) 


此 设备 的 电话 号 码 到 ) 


悠 可 以 为 支持 多 重 端 口 的 设备 设置 景 多 端口 数 限 制 


| 


站 ) @) 


Ca |] we | 


图 16-21 


(3) 远程 访问 客户 端 
选择 左 侧 列表 中 的 【远程 访问 客户 端 】 选 项 ， 可 以 在 右 侧 查看 正在 连接 的 远程 访问 客户 端 信 


息 ， 如 图 16-22 所 示 。 


KMD AW WED Mm 


四 + 和 周章 妨 加 加 


机 用 中 全 有 本 旦 不 的 须 目 、 


图 16-22 


(4) IP 路 由 选择 
如 图 16-23 所 示 ， 通 过 该 项 可 以 配置 本 机 的 路 由 功能 ， 包 括 四 项 信息 和 配置 项 ， 其 含义 如 下 。 


【常规 } 用 于 显示 当前 网 卡 信息 。 

【静态 路 由 用 于 配置 静态 路 由 条 目 。 

【DHCP 中 继 代理 程序 〗〗 用 于 配置 其 至 此 的 中 继 代 理 配置 信息 。 

【NAT/ 基 本 防火 墙 用 于 实现 内 外 网 地 址 转换 和 防火 墙 策略 配置 。 

了 路 由 和 远程 访问 

文件 四 ”所作 WW 查看 WD 帮助 中 

路 | 各 | 四 | 民 | 包 国 

| 
最 

日 -了 SERYER3 体 地 ) 
本 RS 接口 
旦 庄 D 


熏 运程 访问 客户 演 D) 
日 入 理 中 由 思 摊 
党 规 


lol 区 
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16.2.2 ”远程 客户 端 连 接 策略 配置 


客户 端 在 进行 连接 时 需要 身份 认证 ， 身 份 认证 的 配置 有 两 方面 内 容 限制 ， 分 别 是: 允许 远程 
连接 的 账号 本 身 的 拨 入 配置 和 远程 访问 策略 的 配置 。 如 果 远 程 访 问 策略 做 了 禁止 连接 的 策略 , 则 停 
止 连接 ， 如 果 远 程 策 略 允 许 连 接 ， 则 看 用 户 配置 是 否 允 许 访问 ， 默 认 访 问 策略 不 做 限制 。 


1. 启用 本 地 用 户 访问 权限 
具体 的 操作 步骤 如 下 。 


LO 在 桌面 右 击 【 我 的 电脑 〗 图 标 ， 在 弹出 的 快捷 菜单 中 选择 【管理 】 菜 单 命令 ， 如 图 16-24 
所 示 。 


t03 弹出 【计算 机 管理 】 窗 口 ， 在 左 侧 窗 格 中 选择 【计算 机 管理 】〗 汪 【系统 工具 】>【 本 地 
用 户 和 组 〗】 关 【用 户 】〗 选 项 ， 本 实例 使 用 “userl” 账 户 进行 VPN 连接 ， 右 击 userl 账户 ， 在 弹出 
的 快捷 菜单 中 选择 【属性 】〗】 菜 单 命令 ， 如 图 16-25 所 示 。 


EEC ox 
轧 文件 @) 的 作 Q 查看 WD 全 口 思 帮助 0) | alelz 
和 省 | 加 因 |X 轩 本 | 国 加 
| 画 计 得 机 管理 订 地 ) 
富 叫 系统 工 


由 导电 务 和 应 用 程序 
抹 开 当前 过 和 的 原 性 对 话 入 


图 16-25 


03) 弹出 【userl 属性 〗 对 话 框 ， 选 择 【 拨 入 】 选 项 卡 ， 在 【远程 访问 权限 〗 中 有 三 个 选项 ， 
如 果 不 使 用 远程 访问 策略 ， 选 择 〖 人 允许 访问 】 单 选 按钮 ， 单 击 【确定 】 按 钮 即 可 ， 如 图 16-26 所 示 .。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


6 不 同 拔 C) 
个 由 叮 g 方 设置 ( 权 路 由 和 远程 访问 服务 ) GE) 
个 总 是 回 氢 到 上 ) 


厂 分 本 静态 If 地 址 @) [ 


[三 应 用 静态 路 由 下 ) 
为 此 拔 入 连接 定义 要 启用 的 路 由 。 | 


图 16-26 


2. 配置 远程 访问 策略 

如 果 在 用 户 属性 的 【 拨 入 】 选 项 卡 中 选择 【通过 远程 访问 策略 控制 访问 】 单 选 按钮 ， 则 需要 
配置 远程 访问 策略 ， 具 体 的 操作 步骤 如 下 。 

iD 和 如 图 16-27 所 示 , 在 【路 由 和 远程 访问 〗 窗 口 左 侧 选 项 中 选择 【SERVER3( 本 地 )】>【 远 
程 访 问 策略 】 选 项 ,在 右 侧 窗 格 中 显示 了 已 有 的 远程 访问 策略 ， 右 击 空白 区 域 ， 在 弹出 的 快捷 菜单 
中 选择 【新 建 远程 访问 策略 】〗】 菜 单 命令 。 


S| 
文件 到 ) 操作 册 查看 和 助 中 
介 必 | 外 加 | 器 允 | 多 加 


衣 第 品 
盘 远程 访问 客户 端 D) 
日 熏 芋 路 由 选择 


谷类 
更 老路 由 
THCY 中 继 代理 程序 


om 
县 RAT/ 基 本 防火 雯 

过 运程 访问 第 咯 

国 远程 访问 记录 


[天生 太 问 是 


16-27 


tQ2 弹出 【新 建 远程 访问 策略 向 导 】〗 对 话 框 ， 单 击 【 下 一 步 】 按 钮 ， 如 图 16-28 所 示 。 


. 446 。 
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欢迎 使 用 新 建 远程 访问 策略 向 导 


此 向 对 帮助 竹 讼 站 运 程 访问 策 弹 ， 它 是 一 系列 的 条 
详 ， 用 未 灾 完 志 个 过 反 池 六 捞 可 访 问 此 萌 务 器 


要 继续 ， 语 梭 “下 一 步 "”。 


图 16-28 

I03) 弹出 【策略 配置 方法 〗 对 话 框 ， 选 择 【 使 用 向 导 来 设置 普通 情况 下 的 典型 的 策略 〗 单 选 
按钮 ， 在 【策略 名 】 文 本 框 中 输入 策略 名 “策略 1”， 如 图 16-29 所 示 ， 单 击 【 下 一 步 】〗】 按 钮 。 

x| 


策略 配置 方法 
此 向 导 自 娃 典 型 的 第 略 ， 悠 也 可 以 他 陵 自 定义 的 策略 。 


悠 想 怎样 设置 此 第 要? 
人 使用 向 导 来 设置 曾 通 情 况 下 的 典型 的 第 路 0D) 
个 设置 自 定义 第 咯 GE) 


办 入 描述 此 种 喇 的 名 于 


第 中 名 和 后 硬 1 
例如 :身份 验证 所 有 的 VPN 连接。 


《上 一 步 轩 取 滑 


图 16-29 


0 和 4 如 图 16-30 所 示 ， 弹 出 【访问 方法 】 对 话 框 ， 选 择 策 略 应 用 于 何 种 远程 访问 连接 方式 ， 
选择 【VPN】 单 选 按钮 ， 单 击 【 下 一 步 〗 按 钮 . 
到 


访问 方法 
策略 状况 是 根 固 访问 网 络 的 方法 而 定 的 


选择 修 想 创 哇 的 策略 的 访问 方法 。 
CGI 
和 的 YF 天 开 的 第 只 ， 请 富 到 上 一 页 ,这 近 
自 定义 策略。 


斑 护 叶 四 ) 
用 于 传统 的 电话 蝇 莹 绎 合 业务 数字 网 ISD 线路 的 护 号 连接 


F 移 四 
只 用 于 无 线 局 域 网 连接 。 


个 以 本 同 @) 
用 于 以 大 同 主 接 ， 例 各 使 用 交 执 机 的 连接 . 


2 7 ] 了 肖 


图 16-30 


中 小 型 企业 网 络 管 理 实战 室 典 -基于 Windows 平台 


tog 弹出 【用 户 或 组 访问 】〗 对 话 框 ， 在 本 地 用 户 和 组 管理 工具 中 可 以 设置 用 户 或 者 组 的 远程 
访问 权限 ， 要 和 本 步骤 相对 应 ， 因 为 前 面 设置 了 “user1” 用 户 的 远程 访问 权限 ， 所 以 选择 【用 户 】 
单 选 按钮 ， 如 图 16-31 所 示 ， 单 击 【下 一 步 】 按 钮 。 


EEC > 
用 户 或 组 访问 po 
您 可 给 单独 用 户 授予 访问 权 ,或 给 所 先 的 组 授予 访问 权限 。 | 


图 16-31 


06) 弹出 【身份 验证 方法 】〗 对 话 框 ， 如 图 16-32 所 示 ， 选 择 远程 访问 VPN 连接 使 用 的 身份 验 
证 方法 ， 采 用 默认 配置 ， 单 击 【 下 一 步 〗 按 钮 。 
新 建 运程 访问 策略 向 导 | 


身份 验证 方法 Q 
您 可 进 择 你 想 要 第 梧 支持 的 身份 验证 均 议 。 | 


BE RW... 


订 出 erosoft 加 密 身 份 验证 版 本 2 ( gs-CHAFv2 ) 昌 ) 
加 果 悠 的 用 户 提供 了 身份 痊 证 的 密码 。 


厂 旺 erosefgt 加 密 身 份 验 证 0S-CHAP) (A) 
MS-CHAP 六 Sr 只 有 在 您 的 网 络 运行 的 的 作 系统 不 支持 


+- [TS >] _ mn 


图 16-32 


0 辐 弹出 【策略 加 密级 别 〗 对 话 框 ， 如 图 16-33 所 示 ， 设 置 本 策略 支持 的 加 密级 别 ， 不 同 的 
远程 访问 服务 器 加 密级 别 不 同 ， 默 认 全 选 ， 单 击 【下 一 步 】 按 钮 。 
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新 建 远 程 访问 策略 向 导 


策略 加 客 亡 别 

您 可 过 择 此 配置 文件 支持 的 策略 加 密级 别 。 
运行 Wi eroseft 路 由 选择 和 运程 访问 的 服 : 以 下 的 加 密令 别 。 如 果 您 使 用 不 
同 的 还 程 访 问 服务 器 ,请 确 定 避 个 软件 支持 这 级 列 - 


民 基本 加 雪 CPSec 56 位 DES 或 本 40 位 ) (A)) 
克 增强 加 密 CPSec 55 位 DES 或 NPPE 56 位 ) CD) 
末 最 强加 密 CPsee 三 级 DES 或 妈 PE 128 位 ) G) 


-sw [TS] mn 


图 16-33 
08j 访问 策略 配置 完成 ， 显 示 出 配置 信息 ， 单 击 【 完 成 〗 按 钮 ， 如 图 16-34 所 示 。 
新 建 远程 访问 策略 向 导 2 x 
正在 完成 新 建 远 程 访问 策略 向 导 


您 已 经 成 功 地 完成 了 新 建 远程 访问 第 略 向 导 。 您 创建 了 
以 下 策略 


第 略 1 


条 件 
MAS-Port-Type [UM “Virtud MEW” 


身份 验证 NS-CHAPv2 


加 密 ; 基本 加 密 ， 增 强加 密 ， 景 强加 密 


要 关闭 该 向 导 ， 请 单 击 “ 完 成 ”。 


< 上 - 步 加 取消 


图 16-34 


09j 新 策略 添加 成 功 ， 可 以 对 策略 进行 配置 ， 右 击 策略 名 ， 在 弹出 的 快捷 菜单 中 选择 【〖 属 | 
菜单 命令 ， 如 图 16-35 所 示 。 
要 


文件 四 所作 查看 WD 帮助 0 
| 和 +| 因 | 国 |X 略 民 | 久 国 | + * 


本 到 出 crosoft 路 由 这 
二 到 其 它 访 问 服务 器 的 这 


重 mr/ 基本 防 炎 培 
术 运 得 沪 问 策略 
向 远程 访 问 记录 


用 开 当前 选择 的 属性 对 话 框 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 基于 Windows 平台 


轩 0] 弹出 【策略 1 属性 〗】 对 话 框 ， 如 图 16-36 所 示 ， 在 【策略 状态 】 列 表 框 中 显示 了 默认 的 
策略 条 目 ， 单 击 【 添 加 】 按 钮 增加 新 策略 。 


EE 3 
证 | 

指定 连接 请 求 必须 匹配 的 条 件 。 

策略 状况 CC)- 

Fy. | mw. | mw | 

如 果 连 接 请 求 和 此 第 格 中 指定 的 条 件 四 本 的 话 ， 相 应 的 配置 文件 会 应 用 到 了 往 接 。 
编辑 配置 文件 EE) 


除非 在 用 户 配置 文件 中 指定 了 访问 权限 ,否则 本 策略 控制 对 网 络 的 访问 。 


图 16-36 


加 昌 弹出 【选择 属性 】 对 话 框 ， 在 【属性 类 型 〗 列 表 框 中 显示 了 可 增加 的 策略 类 型 ， 选 择 
【Day-And-Time-Restrictions】〗 选 项 ， 配 置 每 周 允 许 用 户 连 接 的 时 间 和 日 期 ， 单 击 【 添 加 】 按 钮 ， 
如 图 16-37 所 示 。 


DEE 4x 
过 要 添加 的 肝 性 基 型 ， 然后 单 击 “ 汪 加 ” 控 杀 。 


是 用 用户 ET 
Cled Station Td 指定 用 户 朱 的 电 语 多、 
Calline-Station-Id 指 二 的 电 罗 码 。 
指定 WS 客户 端的 好 记名 称 (只 适用 
指定 it 客户 端的 IF 地 址 (只 适用 - 
指定 RADIUS 代理 或 WAS 的 制造 厂商 (上 
i 


义 描述 。 
指定 标识 发 出 请 求 的 NAS 的 字符 审 (只 巡 
指定 发 出 请 求 的 NAS 的 IF 地 址 
HAS-Port-Type 指 富 澡 册 请 求 的 NAS 使 用 的 实际 端口 
Service-Type 指定 用 户 请 求 的 服务 类 型 。 


图 16-37 


加 2 弹出 【时 间 限制 】 对 话 框 ， 单 击 和 鼠标 左 键 拖 选 时 间 区 域 ， 选 择 【 人 允许 】 单 选 按钮 ， 如 图 
16-38 所 示 ， 单 击 【 确 定 】 按 钮 。 
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到 
¢ 议 ¢ 
0-2.4-6.6".10.12.14.16.16.20.22.0 

EN 

星期 日 

星期 一 

于 | WE 

= | FE 冲 四 

星期 四 
ME | 选择 的 时 间 区 域 
星期 六 


星期 一 至 星期 六 从 8:00 点 到 18:00 点 


图 16-38 


蜡 虽 访问 时 间 限 制 配置 完成 ， 返 回 【策略 1 属性 〗 对 话 框 ， 选 择 【 授 予 远 程 访问 权限 〗 单 先 
按钮 ， 如 图 16-39 所 示 ， 单 击 【 确 定 】〗 按 钮 ， 完 成 新 策略 的 添加 及 属性 修改 。 


= 编辑 EE) MP EB) 


加 果 连 接 请 求 和 此 第 略 中 指定 的 条 件 EMC 的 话 ， 相 应 的 配置 文件 会 应 用 及 了 接 ， 


名 也 轩 文 件 ) 
授予 远程 队 夺 在 用 户 本 图 件 中 指定 了 访问 权限 ， 否 则 本 第 中 控制 对 问 结 的 访问 。 
访问 权限 ee 


6 授予 远程 访问 权限 @) 


图 16-39 


3. 客户 端 连接 
设置 客户 端 连 接 的 具体 操作 步骤 如 下 。 
iD 外 在 远程 客户 端 打开 【网 络 连接 】 窗 口 ， 双 击 【 新 建 连 接 向 导 】〗 图 标 ， 如 图 16-40 所 示 。 


EEEEE3 =I9lx| 
| 文件 四 编 得 @) 查看 WD 收藏 UW) 工具) 高 级 吕 ”帮助 和 D | 章 
RE MAD SE ey 

ES 习 目 乔 


新 建 连接 向 导 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


I02 弹出 【新 建 连接 向 导 】〗 对 话 框 ， 单 击 【 下 一 步 〗 按 钮 ， 如 图 16-41 所 示 。 


欢迎 使 用 新 建 连接 向 导 


此 庙 导 格 帮 动 放 
， 连接 到 Internet。 
，。 连 按 到 专用 网 络 ,例如 和 的 办 公 同 络 。 


。 设 置 一 个 家 许 或 小 型 办 公 网 络 。 


要 奴 针 ,请 单 击 “下 一 步 ”。 


[Edw 


图 16-41 


03j 弹出 【网 络 连 接 类 型 对 话 框 ,选择 【连接 到 我 的 工作 场所 的 网 络 】 单 选 按钮 ， 如 区 


所 示 ， 单 击 【 下 一 步 】 按 钮 。 


同 络 连接 类 型 
您 起 做 什么 ? 7 
和. 
个 连接 到 Iateraet Cc) 
连接 到 Internet ,这样 人 就 可 以 浏览 Yeb 或 网 这 电 子 邮件 . 
“ 连接 到 要 欧 工作 蕊 所 的 网 阁 @》 
TE (合用 据 叶 或 VFN) ， 这 笠 您 就 可 以 在 家 里 或 者 其 它 地 
全 设置 家 庭 或 个 型 办 公司 络 (5) 
连接 到 | 一 个 现 有 的 家 庭 或 小 型 办 公 网 络 ， 或 者 设置 一 个 新 的 . 


三 设置 高 级 连接 于 ) 
计算 机 或 设置 此 计 舌 机 使 其 
计划 机 能 与 它 连 接 。 


了 


图 16-42 


0 出 弹出 【网 络 连接 〗 对 话 框 ， 选 择 【虚拟 专用 网 络 连接 】 单 选 按钮 ， 如 图 16-43 所 示 ， 单 
击 【 下 一 步 】 按 钮 。 


EEEEEB 
同 络 连 其 < 
您 想 要 在 工作 点 加 何 与 网 过 连接 7 


创举 下 到 时 接 
三 接 号 连接 @) 
和 电话 入 接 ， 或 通过 党 业务 娄 字 问 Cs0D 电 话 二 入 


要 和 专用 同 阅 连接 人 
使 用 虚拟 专用 网络 9 通过 Internet 连接 到 司 络 . 


gg。 允 


图 16-43 


16-42 
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tQ9 弹出 【连接 名 】 对 话 框 ， 如 图 16-44 所 示 ， 在 【公司 名 】 文 本 框 中 输入 本 次 连接 的 名 字 
“computerA”， 为 了 方便 记忆 建议 输入 远程 访问 服务 器 所 在 公司 名 ， 单 击 【下 一 步 】 按 钮 。 


新 建 连接 向 导 


连接 名 < 
指定 连接 到 | 禾 的 工作 场所 的 连接 名 称 , 2) 


在 下 面 框 中 给 入 此 连接 的 名 称 。 
公司 和 名) 
ET 


例如 ， 您 可 以 输入 您 的 工作 地 点 名 或 您 连接 到 的 服务 器 名 。 


| 
图 16-44 


LOQ6j 弹出 【VPN 服务 器 选择 〗】 对 话 框 ， 在 【主机 名 或 IP 地 址 】 文 本 框 输入 远程 访问 服务 器 
的 地 址 ， 本 实例 为 “61.192.93.100”， 如 图 16-45 所 示 ， 单 击 【下 一 步 】 按 钮 。 


新 建 连接 向 导 


YP 服务 器 选择 < 
YPN 服务 器 的 名 称 或 地 址 是 什么 ? < 及 


输入 修正 连接 的 计算 机 的 主机 名 或 IF 地 址 。 
主机 名 或 IT 地 址 (例如 ,nicrosoft. co 或 157.54.0.1) 0D; 
B132. 3.100 


《上 一 步 中) 职 消 


图 16-45 


0 新 建 连 接 向 导 配置 完成 ， 为 了 方便 连接 ， 可 以 选择 【在 我 的 桌面 上 添加 一 个 到 此 连接 的 
快捷 方式 〗】 单 选 按钮 ， 如 图 16-46 所 示 ， 单 击 【 下 一 步 】 按 钮 。 


中 小 型 企业 网 络 管 理 实战 富 典 基于 Windows 平台 


正在 完成 新 建 连接 同 导 


so wm | 
图 16-46 
08j 弹出 【连接 computerA】〗 对 话 框 ， 在 【用 户 名 】 和 【密码 】 文 本 框 输入 进行 身份 认证 的 
账户 及 密码 信息 ， 如 图 16-47 所 示 ， 单 击 【 和 连接 】 按 钮 。 


连接 computerA EE 


用 PW: Feet 
ED [ee 


F 院 下 面 用 户 保 存 用 户 加 和 歼 码 E)] 

个 只 是 我 四 

个 任何 使 用 此 计算 机 的 人 () 
取消 属性 中) | 。 和 助 00 

图 16-47 
09j 自动 认证 连接 ， 并 从 远程 访问 服务 器 获得 瑟 地 址 ， 添 加 成 功 后 会 在 【网 络 连 接 】 窗 口 显 

示 连 接 图 标 ， 如 图 16-48 所 示 。 
2 


六 翌 四 加 四 查看 四 家 工具 D) RED WW | 
JE FIETFCJEIe 
地 址 Wm) [他 局 3 连 按 J 
LANW 或 高 速 Internet 

最 Tr 时 [xun Wh] 

一 < Le] Co 

向导 

Es 

图 新 建 连接 向 导 名 司 络 安装 向 导 

虚拟 专用 同 络 

a 
盟 = 
i 被 型 端口 FFPTP) 
图 16-48 
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加 0 右 击 连 接 图 标 ， 选 择 【 状 态 】 莱 单 命令 ， 弹 出 【computerA 状态 〗 对 话 框 ， 如 图 16-49 
所 示 ， 在 【常规 】 选 项 卡 中 显示 了 连接 状态 ，【〖【 活 动 】 状 态 信息 中 的 【压缩 】〗 状 态 表 示 信息 使 用 
VPN 连接 发 送 时 的 压缩 比例 ， 默 认 使 用 VPN 传输 的 数据 都 进行 了 压缩 。 


ZIx| 
第 规 “| 详细 信息 | 
连接 
状态 : 已 连接 上 


图 16-49 


加 各 如 图 16-50 所 示 , 在 【详细 信息 】 选 项 卡 中 显示 了 客户 端 用 于 连接 远程 访问 服务 器 的 信息 ， 
包括 : 压缩 方式 、 加 密 方式 、 身 份 验证 方式 、 远 程 服务 器 地 址 、 客 户 端 地 址 等 信息 。 


192. 168. 1, 100 
192. 168. 1. 101 


图 16-50 


16.3 基于 1SA 防火 墙 的 VPN 
ISA Server 2006 防火 墙 本 身 自 带 有 VPN 配置 功能 ， 可 以 实现 远程 访问 VPN 和 IPSec VPN 两 


.455 。 
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种 技术 。 
16.3.1 远程 访问 VPN 


远程 访问 VPN 可 以 按照 如 图 16-51 所 示 的 拓扑 图 实现 方案 配置 ， 具 体 的 配置 步骤 如 下 。 


192.168,1,1 


61.192.93.100 2- Be 
\ 这 wn 县 se 
园 一 入- 一 Internet —77 时 泣 ) 
es 一 ~ 和 
企业 内 网 ee i 一 
移动 及 家 庭 办 公用 户 
图 16-51 


1. 定义 远程 客户 端 地 址 段 
具体 的 操作 步骤 如 下 。 
0 和 打开 ISA Server 2006 程序 主 界面 ， 如 图 16-52 所 示 ， 在 左 侧 选项 列表 中 选择 【虚拟 专用 


网 (VPN) 〗 选 项 ， 选 择 【VPN 客户 端 〗 选 项 卡 ， 选 择 右 侧 【 任 务 〗 选 项 卡 的 【定义 地 址 分 配 】 
选项 。 


屋 扫 专用 同 辣 OTD 


/EN 
大 户 洋 沪 有 


虚拟 专用 网 (VPN) 


民运 认 并 枯 村 宕 户 过 如 末 便 用 过 拟人 用 网络 MP 和 按 沪 问 公司 同 才 。 


VPN 客户 器 任务 
© BN mn PRD 
也 配置 ni 客 P 消 访 


常规 VPN 配置 


ean 抱 定 Vindors 用 户 加 渤 天 而 月 问 结 
= 拉 t 许 wh 动 N 的 | 定 尺 rr 条 守 lt 本 
闫 往 委 北 吕 | 定义 地 址 分 配 EE 


莫 十 7 尾 性 和 运程 访问 配 轩 


验证 WF 尾 考 ， 主 如 功 识 和 力 问 点 ， 根 提 从 的 况 闪 要 求 浊 行 了 定义 ， 


国 查看 WIE 志 户 苇 同 络 的 防火 二 生 咯 
对 证 是 亚 相 人 的 于 和 公司 安全 要 求 定义 了 rr 客户 端 同 交 4) 隐 炎 增 筑 只 


查看 网 络 规则 


改 证 关 否 科举 闪 F953 要 不 宇 久 了 风光 江 则 ， 话 搞 届时 宇 在 WT 者 记 苇 网 阁 和 
其 地 且 寺 ， 现 00 闪 可 网络 ， 之 问 的 关系 


| 


子 省 定 Mrs RE 


相关 任务 

ET EE 

© Pb mn PCE 

因 时 和 vIn 窜 P 庙 用 

© a PR 


图 16-52 


2 弹出 【虚拟 专用 网 (VPN ) 属性 〗 对 话 框 ， 如 图 16-53 所 示 ， 单 击 【 添 加 】 按 钮 ， 为 远 
程 客户 端 指定 可 分 配 的 地 址 。 
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虚拟 专用 同 络 (YP 屋 性 下 车 
访问 网 络 ”地址 分 配 | 身份 验证 | BAnrus | 


编辑 E). 
lsd: 


个 动 帮主 机 配置 协议 DHCP) QD)。 在 多 服务 器 阵列 上 不 支持 。 


使 用 下 列 网 络 来 获得 DHCP ,DNS 和 WINS 服务 WD 


内 部 了 | 
高 级 设置 只 适用 于 远程 VPN 客户 端 。 高 级 外 


图 16-53 


[03j 弹出 【服务 器 IP 地 址 范围 属性 】 对 话 框 ， 如 图 16-54 所 示 ， 在 【起 始 地 址 】 和 【结束 地 
址 】 文 本 框 中 输入 地 址 范围 ， 单 击 【 确 定 】 按 钮 
加 到 


选择 服务 器 EB): 


aa-6db32af13796 了 


图 16-54 


i 约 返回 【虚拟 专用 网 (VPN ) 属性 】 对 话 框 ， 如 图 16-55 所 示 ， 选 择 【访问 网 络 】〗 选 项 卡 ， 
勾 选 【外 部 〗 复 选 框 ， 指 定 该 地 址 配置 应 用 于 外 部 网 络 的 客户 机 。 
本 可 


访问 网 络 | 地址 分 配 | 身份 验证 | EAprvs | 
祷 邮 .入 过 和 以 从 中 司 动 到 nh 服务 的 这 


证 + 选择 本 地 网 络 ， 它 的 适配器 是 用 来 连接 远程 站 点 


代表 内 谢 同 结 的 朵 党 

代表 Internet 的 内 置 网 结对 象 

代表 外 围 网 络 的 网 络 对 象 也 称 
口 念 所 有 受 保护 的 网 络 此 预定 义 的 网 络 集 包 括 除 内 置 外 
口 念 所 有 网 络 和 本 地 主机 ) ”此 预定 义 的 网 络 集 包括 所 有 网络 
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5) 如 图 16-56 所 示 ， 选 择 【 身 份 验证 】〗 选 项 卡 ， 指 定 客户 端 连 接 使 用 的 身份 验证 方式 ， 默 
认为 “MS-CHAPv2” 认 证 技术 ， 单 击 【 确 定 】 按 钮 。 


虚拟 专用 网 络 (YPI) 尾 性 ?| x 
访问 网 络 | 地 址 分 配 身份 验证 |aAnrus | 
身份 验证 方法 
| 迁 程 YEN 客户 端 局 动 到 ISA 服务 器 的 连接 
三 S555E 加 的 贡 从 对 证 卫生 2 5-CHAFv27 


厂 可 扩展 的 身份 验证 协议 EAP)， 使 用 智能 卡 或 其 地 证 书 E)。 
BN 
厂 旺 eroseft 加 密 的 身份 验证 DS-CHAP) (5) 

厂 加 密 的 身份 验证 CHMAP) 民 )。 需 要 可 地 的 密码 。 

厂 Shivs 密码 身份 验证 协议 SPAP) EE) 

厂 未 加 密 的 密码 FAP) QD 


厂 允 话 L2TF 连接 自 定义 IPsec 策略 和 L) 
预 共 享 客 钥 码 ) | ES 


图 16-56 
2. 配置 VPN 客户 端 访 问 
具体 的 操作 步骤 如 下 。 
io 由 打开 ISA Server 2006 程序 主 界面 ， 如 图 16-57 所 示 ， 在 左 侧 选 项 列表 中 选择 【虚拟 专用 
网 (VPN) 】 选 项 ， 选 择 【VPN 客户 端 〗 选 项 卡 ， 选 择 右 侧 【任务 】〗 选 项 卡 的 【配置 VPN 客户 端 
访问 】 选 项 。 


帮 册 i) 
~ 因 | 回 | 国 国 | 4| 池 昌 
Dts A esigss- eaoeanre sR 


/WY 
Re SE sneer se VPN 客户 端 任务 


配置 VPN 客 本 ,rr 到 Pi 


户 端 访 问 常规 YPN 配置 
指定 Tindews 用 户 囊 这 办 一 个 EDTIS EE 
指定 大 和 WP 访问 的 中 iaievs 用 户 (组) ， 职 者 各 果 人 有 ATIS 身份 站 证， 过 字 完 风电 4 村 
和 Dr 身 久 驻 下 服务 如。 寻 闪 全 广 法 


验证 TPE 属性 和 运程 沪 月 配置 
各 


VF 性， 例 翅 识 和 访问 友 ， 相 个 的 朵 要 求 行 了 全 义 - 


国 了 下 擂 攻 分 配方 法 和 语 用 YE 记 户 芝 沪 1 
化 P 术 才 记 济 他 图 VPW 这 接 丰 注 按 到 Fox3， 


他 攻 定 aumtc 本 时 


相关 任务 


Q 查看 THE 赫 户 半 同 六 的 盖 火 垃 第 喇 他 省 视 m1 写 F 疝 
双 证 号 瑞生 衬 约 和 六 有 公 司 灾 全 要 本 主义 了 WE 有 考 户 苇 网 区 3 过 第 因由 rr PP 

国 SA i Pn 

坦 看 局 交规 天 国 网 i 有 天 VP 各 只 角 和 的 人 

共计 是 理想 拓 闪闪 委 本 定义 了 站 综 二 则 法规 贡 插 宇 yr 客户 着 网 络 和 号 

三 ， 例 庙 和 所 入 ,之 问 的 关系 ， 


图 16-57 
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2 弹出 【VPN 客户 端 属性 】 对 话 框 ， 选 择 【 常 规 】 选 项 卡 ， 如 图 16-58 所 示 ， 勾 选 【 启 用 
VPN 客户 端 访问 】 复 选 框 ， 在 【允许 的 最 大 VPN 客户 端 数 量 〗 文 本 框 中 默认 显示 “100”， 可 根 
据 企业 需求 调整 。 


aE 
帘 规 | 组 。 | 协 充 | 用 户 中 对 | 


图 16-58 
ioO3j 如 图 16-59 所 示 ， 选 择 【组 】 选 项 卡 ， 可 以 通过 单 击 【添加 】〗 按 钮 配置 允许 访问 的 远程 
域 组 ， 本 实例 没有 使 用 域 ， 不 做 配置 。 


EE 
常规 组 | 协议 | 用 户 映 时 | 


选择 万 许 远程 访问 的 域 明 GE) - 


想 添加 四 ). 
Elsdy 
DY 


.了 为 :地 | 村 只 


图 16-59 


0 弛 如 图 16-60 所 示 ， 选 择 【 协 议 〗】 选 项 卡 ， 选 择 VPN 连接 使 用 的 协议 ， 默 认 选 择 【 启 用 
PPTP】 复 选 框 ， 本 实例 不 采用 认证 技术 ， 所 以 不 选择 【启用 L2TP/IPsec】 复 选 框 ， 单 击 【 确 定 】 
按钮 。 
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EE 


图 16-60 
【分 如 果 选 择 【 启 用 L2TPJIPsec] 选项 ， 就 需要 用 到 证 书 服务 器 ， 用 户 可 以 根据 个 人 需求 
调整 。 
提 示 
3 开放 VPN 客户 端 访问 


VPN 连接 配置 完成 后 ， 如 果 人 允许 VPN 客户 端 和 内 网 通信 ， 需 要 创建 一 条 访问 规则 ， 具 体 的 操 
作 步 骤 如 下 。 
toOJ 打开 【新 建 访 问 规则 向 导 】〗 对 话 框 ， 如 图 16-61 所 示 ， 在 【访问 规则 名 称 】 文 本 框 中 输 
入 “开放 VPN 客户 端 与 内 网 通信 ”， 单 击 【 下 一 步 】 按 钮 。 
芭 


欢迎 使 用 新 建 访 问 规则 向 导 


& 
ss 
此 向 导入 b= 问 规则 。 当 来 自 一 个 网 
ET 
天 - 
"| 访问 规则 名 称 让 ) 


一 一 二 二 二 
要 继续 ,请 单 击 “ 下 一 步 ”。 


SD] 陋 


图 16-61 
02 弹出 【规则 操作 】 对 话 框 ， 选 择 【人 允许】 单 选 按钮 ， 单 击 【 下 一 步 】 按 钮 ， 如 图 16-62 
所 示 。 
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sansans mnen, 用 于 处 理 客户 端 从 指定 目标 请 求 内 容 的 国 


图 16-62 


to3j 弹出 【协议 】 对 话 框 ， 如 图 16-63 所 示 ， 在 【此 规则 应 用 到 】〗 下 拉 菜 单 选 项 中 选择 【所 


有 出 站 通信 】 选 项 ， 单 击 【 下 一 步 】 按 钮 。 


新 建 访 问 规则 向导 


0 弛 弹出 【访问 规则 


图 16-63 


图 16-64 
0g 弹出 【添加 网 络 实体 】 对 话 框 ， 如 图 16-65 所 示 ， 在 【网 络 】 子 选项 中 选择 【VPN 客户 


* 461，: 


中 小 型 企业 网 络 管 理 实战 委 典 基于 Windows 平台 


端 〗 和 【内 部 〗 两 个 选项 ， 单 击 【 关 闭 〗 按 钮 。 
[sxt = 


新 建 访问 规则 向 导 | 
访问 规则 小 
此 规则 格 应 用 于 来 自 此 页 指定 源 的 通讯 


Ead) 


bE md) eT TE WR 


图 16-66 


0 弹出 【访问 规则 目标 〗 对 话 框 ， 如 图 16-67 所 示 ， 依 然 添 加 【VPN 客户 端 Y 和 【内 部 】 
两 项 ， 单 击 【 下 一 步 】 按 钮 。 
加 


访问 规则 目标 
此 规则 格 应 用 于 从 此 规则 源 发 送 到 此 页 指定 目标 的 通讯 


此 规则 应 用 于 发 送 到 这 些 目标 的 通讯 
入 YE 客户 清 添加 | 
力 风 而 | 


Ez 


— ms | 


图 16-67 
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8 弹出 【用 户 集 〗 对 话 框 ， 默 认 人 允许 所 有 用 户 访问 ， 单 击 【下 一 步 】 按 钮 ， 如 图 16-68 所 示 。 
到 


用 户 集 
集 本 HI 有 到 所 有 用 户 的 请求。 到 者， 从 可 以 限 提 访 问 竺 定 用 户 


此 规则 应 用 于 来 自 下 列 用 户 集 的 请 求 : 


所 有 用 户 添加 WW 


ww | 
图 16-68 
to9j 访问 规则 配置 完成 ,显示 出 配置 信息 ， 单 击 【 完 成 】 按 钮 ， 完 成 向 导 ， 如 图 16-69 所 示 。 
国 
正在 完成 新 建 访问 规则 向 导 
ess 
斌 过 完成 了 新 建 访问 规则 册 导 . 新 访问 规则 的 
“| re PNK ] 


区 许 
国 国 * 


要 关 团 向 导 ， 请 单 古 “完成 "”。 


sv] mm | 


图 16-69 


是 D 新 规则 添加 成 功 ， 在 【防火 墙 策略 规则 】〗 列 表 中 显示 ， 单 击 【 应 用 】 按 钮 使 配置 生效 ， 
如 图 16-70 所 示 。 


本 机 和 大 量 务 因 、 se-6dhs2afl3T96 


SC H 
一 = 站 新 添加 策略 规则 


多 所 有 用户 


st 


图 16-70 


中 小 型 企业 网 络 管 理 实 战 宇 典 一 一 具 于 Windows 平台 


4. 配置 身份 认证 用 户 


在 ISA 服务 器 的 本 地 用 户 中 找到 有 远程 访问 登录 权限 的 账户 ， 配 置 其 属性 ， 如 图 16-71 所 示 ， 
在 【 拨 入 】 选 项 卡 中 ， 选 择 【 人 允许 访问 】 单 选 按钮 ， 单 击 【 确 定 】 按 钮 。 


名 ) 

个 由 呼叫 方 设置 ( 权 路 由 和 运程 访问 服务 ) GE) 
个 总 是 回 氢 到 QD 

厂 分 本 静态 IP 地 址 G@) 7 
[三 应 用 帮 才 路 由 @ 一 一 一 一 一 一 一 一 一 一 一 一 一 一 
为 此 拔 入 连接 定义 要 启用 的 路 由 。 2 


5. 客户 端 连接 
配置 方案 的 最 后 一 步 就 是 客户 端 连 接 ， 具 体 的 操作 步骤 如 下 。 
td 在 远程 客户 端 打开 【网 络 连接 〗 窗 口 ， 双 击 【新 建 连 接 向 导 】〗 图 标 ， 如 图 16-72 所 示 。 


文件 罗 )， 樟 可 也 ) 查看 收 说 以) 工具 CD 高 琢 QD 帮助 00) 


CENE Wn] 
下 


新 建 连接 向 导 
时 met 避 [ rm 本 | 


一 已 
名 同 络 安 装 向 导 


向导 


所 二 访问 本 


图 16-72 
io3j 弹出 【新 建 连接 向 导 】 对 话 框 ， 单 击 【下 一 步 】 按 钮 ， 如 图 16-73 所 示 。 
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欢迎 使 用 新 建 连接 向 导 


此 疝 导 格 帮 助 将 
* 连接 到 Internet。 
* 连接 到 专用 网 络 ， 例 如 您 的 办 公 网 络 。 


* 设置 一 个 家 庭 或 小 型 办 公司 络 . 


要 继续 ， 请 单 击 “ 下 一 步 ” 


f= 取消 


图 16-73 


03j 弹出 【网 络 连接 类 型 对 话 框 ， 选择 【连接 到 我 的 工作 场所 的 网 络 】 单 选 按 钮 ， 如 图 


所 示 ， 单 击 【下 一 步 】〗】 按 钮 。 
es 


网 络 连 接 类 型 
您 想 做 什么 ? 


个 连接 到 Internet (C) 
连接 到 Internet ,这样 你 就 可 以 浏览 Feb 或 阅 庄 电 子 邮件 。 


® I 网 阁 忆 


16-74 


连 按 到 和 区 [oy 
个 RB (代用 技 叶 或 yp ,这 检修 了 可 以 在 家 里 了 者 下 地 


个 设置 家 庭 或 小 型 办 公 网 络 (5) 
连接 到 一 个 现 有 的 家 庭 或 小 型 办 公 网 络 ， 或 者 设置 一 个 新 的 。 


个 设置 高 级 连接 到) 


be +， 或 设置 此 计算 机 使 其 它 


《上 一 步 @) 取消 


图 16-74 


0 约 弹 出 【网 络 连接 〗 对 话 框 ， 选 择 【虚拟 专用 网 络 连接 】 单 选 按钮 ， 如 图 16-75 所 示 ， 单 


击 【下 一 步 】 按 钮 。 
EEC 


网 络 连 接 
您 起 要 在 工作 点 如 何 与 网 络 连 接 ? 


创建 下 列 连 接 
个 接 号 连接 @) 


Et ， 或 通过 综合 业务 数字 网 CSDID 电话 线 连 


人 要 扫 专 用 同 络 连 区 名) 
使 用 虚拟 专用 网 络 VFNW) 通 过 Internet 连接 到 网 络 。 


《上 - 步 四 取消 


图 16-75 


中 小 型 企业 网 络 管 理 实战 委 典 -基于 Windows 平台 


I05) 弹出 【连接 名 】 对 话 框 ， 在 【公司 名 】 文 本 框 中 输入 本 次 连接 的 名 字 “computerA”， 为 
了 方便 记忆 建议 输入 远程 访问 服务 器 所 在 公司 名 ， 单 击 【下 一 步 】 按 钮 ， 如 图 16-76 所 示 。 


连接 名 A 
指定 连接 履 的 工作 场所 的 连接 名 称 - 2 


在 下 面 框 中 输入 此 连接 的 名 称 。 
公司 名 四 ) 


IE 


例如 ， 您 可 以 输入 将 的 工作 地 点 名 或 侈 连接 到 的 职务 器 名 


mw | 
图 16-76 
06j 弹出 【VPN 服务 器 选择 〗】 对 话 框 ， 如 图 16-77 所 示 ， 在 【主机 名 或 IP 地 址 】 文 本 框 输 入 
远程 访问 服务 器 的 地 址 ， 本 实例 为 “61.192.93.100”， 单 击 【 下 一 步 〗 按 钮 。 
Mr 和 2? 


辆 入 修正 连接 的 计算 机 的 主机 名 或 IF 地 址 。 


主机 名 或 I? 地 址 (全 各，microsoft co 或 157.54.0.1) 00 
[ET 


| 


图 16-77 


QQ 新 建 连接 向 导 配置 完成 ， 为 了 方便 连接 ， 可 以 选择 【在 我 的 桌面 上 添加 一 个 到 此 连接 的 
快捷 方式 〗 单 选 按钮 ， 如 图 16-78 所 示 ， 单 击 【完成 】 按 钮 。 


正在 完成 新 建 连接 向 导 
您 已 或 功 完 成 外 娃 下 列 连 接 玫 要 的 步 村 


compaterA 
* 与 此 计算 机 上 的 所 有 用 户 共享 


要 自 建 此 尝 接 并 关闭 向 导 ， 单 击 “ 完 成 ” 


so |] mw 


图 16-78 
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tQ8j 弹出 【连接 computerA]】 对 话 框 ， 在 【用 户 名 〗 和 【密码 〗】 文 本 框 输入 进行 身份 认证 的 
账户 及 密码 信息 ， 如 图 16-79 所 示 ， 单 击 【 连 接 】〗 按 钮 。 


图 16-79 


to9j 自动 认证 连接 ， 并 从 远程 访问 服务 器 获得 人 P 地 址 ， 添 加 成 功 后 会 在 【网 络 连 接 】 窗 口 显 
示 连 接 图 标 ， 如 图 16-80 所 示 。 


文件 四) 编辑 GD) 查看 WD 收藏 和 ) 工具 GD) 高 厌 D 帮助 0 


BOT Pm i WI | 
地 址 q) [RG 同 连 按 ESEE] 
LAN 或 高 速 Internet 


可 可 
多 A Vine iets Vware Hetwork 
本 地 连接 3 
Adapter Vnetl Adapter VinetB 
Ea < 


向 导 


留 新 建 连接 向 导 从 网 络 安装 向 导 


下 一 


AT 微型 请 口 FTP) 


图 16-80 


蜡 Qj 右 击 连接 图 标 ， 选 择 【状态 〗 菜 单 命令 ， 弹 出 【computerA 状态 〗 对 话 框 ， 如 图 16-81 
所 示 ， 在 【常规 】〗 选 项 卡 中 显示 了 连接 状态 ，【 活 动 〗 状 态 信 息 中 的 【压缩 〗 状 态 表示 信息 使 用 
VPN 连接 发 送 时 的 压缩 比例 ， 默 认 使 用 VPN 传输 的 数据 都 进行 了 压缩 。 


.467 。 


中 小 型 企业 网 络 管 理 实战 委 典 基于 Windows 平台 


了 天 
第 规 |i8 信 息 | 
连接 
状态 : 已 连接 上 
持续 时 间 : 00:00:55 


图 16-81 


加 各 如 图 16-82 所 示 ， 在 【详细 信息 〗 选 项 卡 中 显示 了 客户 端 用 于 连接 远程 访问 服务 器 的 信 
息 ， 包 括 : 压缩 方式 、 加 密 方式 、 身 份 验证 方式 、 远 程 服 务 器 地 址 、 客 户 端 地 址 等 信息 。 


192. 168. 1. 101 


图 16-82 


16.3.2 ”远程 站 点 VPN 


远程 站 点 VPN 需要 对 两 端 分 别 配置 ， 用 户 可 以 按照 如 图 16-83 所 示 的 拓扑 图 实现 方案 配置 ， 
具体 的 配置 步骤 如 下 。 
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192.168.1.1 61.192.93.100 61.192.93.200 192.168.1.1 


\ ~“ -一 一 一 一- 、 / 


) 


总 公司 内 网 。 ServerA serverB 子 公司 内 网 
图 16-83 
1. serverA ISA 服务 器 的 配置 
具体 的 操作 步骤 如 下 。 
和 打开 ISA Server 2006 程序 主 界面 ， 在 左 侧 选项 列表 中 选择 【虚拟 专用 网 (VPN ) 】 选 项 ， 
选择 【远程 站 点 】 选 项 卡 ， 选 择 右 侧 【 任 务 】 选 项 卡 的 【创建 VPN 点 对 点 连接 】 选 项 ， 如 图 16-84 
所 示 。 


文件 中 换 作 凶 ， 查看 W) 帮助 D 


宇 业 » 碟 扫 专用 网 络 ID 


阵列 
瑟 砚 seabzutlargs 


远程 站 点 任务 


具 允 点 连接。 必须 先 创 建 一 个 运程 外 点 网 纪 
? 证 | 二 


Pr 
RP 服务 器 、 肌 从 验证 太 法 得 成 "rn 用 
oly rE 创建 VPN 点 


关于 上 5 天 上 本 扣 才 用 的 村 且 - 对 点 连接 


常规 VPN 配置 
EL 
男 定义 地 址 分 本 
他 选 汉 和食 双 I 力 汉 
吨 指 定 KATIS 配置 


旭 革 全 各 加 
L 


图 16-84 


itO3 弹出 【创建 点 对 点 连接 向 导 〗 对 话 框 ， 在 【点 对 点 网 络 名 称 】〗 文 本 框 中 输入 “serverA”， 
单 击 【 下 一 步 〗 按 钮 ， 如 图 16-85 所 示 。 


他 六 连接 向导 


欢迎 使 用 创建 YPN 点 对 点 连接 向 导 


Mechesden E006 
由 
关于 WEE 点 对 点 网 络 的 帮助 


医 =， 
点 对 点 网 络 名 称 到 ) 
me ER 
| 


要 继续 ， 请 单 击 “ 下 一 步 ”。 


一 | 


图 16-85 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


03) 弹出 【VPN 协议 〗】 对 话 框 ， 现 在 本 连接 使 用 的 隧道 协议 ， 选 择 【IPsec 上 的 第 二 层 隧 道 
协议 (L2TP ) 】 单 选 按钮 ， 如 图 16-86 所 示 ， 单 击 【下 一 步 】〗 按 钮 。 
可 


YP 协议 
选择 此 VPN 协议 来 保护 站 点 间 发 送 的 通讯 。 


个 IP 安全 协议 (IPsee) 隆 道 模 式 CD) 
提供 高 安全 性 以 及 与 第 三 方 YPN 提 


(i 揣 颇 EE 了 PTP， 将 在 远程 访问 服务 中 包 际 与 网 络 名 称 同名 的 请 求 
os EF 上 的: 


mm 
图 16-86 
罗 旨 弹出 提示 框 ， 如 图 16-87 所 示 ， 提 示 远 程 站 点 连接 本 站 点 进行 身份 认证 的 账户 必须 和 本 


向 导 创 建 的 网 络 同名 ， 即 本 向 导 创 建 了 “serverA”， 那 么 对 端 站 点 必须 要 创建 “serverA” 账 户 ， 
并 配置 拨 入 访问 权限 ， 单 击 【 确 定 〗】 按 钮 。 


八 、 要 启用 连接 性 ， 必须 有 匹 也 网 络 名 称 的 用 户 帐户 


和 


[WE | _ 矶 
图 16-87 
I05) 弹出 【连接 所 有 者 〗 对 话 框 ， 选 择 默 认 配 置 ， 单 击 【 下 一 步 】〗 按 钮 ， 如 图 16-88 所 示 。 
Ed 


连接 所 有 者 
指定 此 连接 的 ISA 服务 器 阵列 成 员 。 


人 屿 ne 


选择 连接 所 有 者 G) 


serverk 


《上 - 步 四 取消 


图 16-88 


06j 弹出 【远程 站 点 网 关 】〗 对 话 框 ， 如 图 16-89 所 示 ， 在 【远程 站 点 VPN 服务 器 】 文 本 框 中 


.470 。 
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输入 远程 站 点 的 卫 地 址 “61.192.93.200”， 单 击 【 下 一 步 】〗 按 钮 。 
加 | 


运程 站 点 网 关 
输入 远程 站 点 YPN 服务 器 的 IF 地 址 或 服务 器 名 称 (FQDN)。 


远程 站 点 YPN 服务 器 @) - 


lsz 5 zol 


《上 一 步 @)| 下 一 步 人 D | 取消 
图 16-89 


it08 弹出 【远程 身份 验证 〗 对 话 框 ， 如 图 16-90 所 示 ， 配 置 允 许 本 地 站 点 连接 远程 站 点 的 账 
户 信息 ， 用 户 名 必须 是 远程 站 点 创建 的 VPN 点 对 点 连接 的 网 络 名 ， 本 实例 采用 “serverB”， 单 击 
【下 一 步 】 按 钮 。 


创建 点 对 点 连接 向 导 车 
运程 身份 验证 
二 信和 半点 能 中 局 动 于 各 法 点 的 演 接 ， 需 要 远 可 站 点 上 的 用 户 帐户 
行 身份 验证 。 


克 区 许 本 地 站 点 使 用 此 用 户 帐 户 启 动 到 胸 程 站 点 的 连接 (): 


用 户 各 QW); [serverB mas 
域 四 ) 

志 码 中- Fe 
确认 容 码 C): ese 


《上 - 步 W)[ 下 一 步 加 | 取消 


图 16-90 


to8j 弹出 【L2TP/IPsec 传 出 身份 验证 〗 对 话 框 ， 如 图 16-91 所 示 ， 如 果 站 点 两 端 都 可 以 从 同 
一 个 证 书 认 证 机 构 获得 数字 证 书 则 选择 【证 书 身份 验证 〗 单 选 按钮 ， 本 实例 采用 【 预 共享 密 钥 身 份 
验证 〗， 预 共享 密 钥 为 “serverAB”， 单 击 【 下 一 步 〗 按 钮 。 


.471。 
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创建 点 对 点 连接 育 导 | 


12TP/IPsee 传 出 身份 验证 
指定 用 于 连接 允 有 运程 站 点 的 IPsec 身份 圣 证 方法 . 


Ew | 
图 16-91 
to9j 弹出 【输入 L2TP/IPsec 身份 验证 〗 对 话 框 ， 如 图 16-92 所 示 ， 在 【 预 共 享 密 钥 】 文 本 框 
中 输入 “serverAB”， 单 击 【下 一 步 】 按 钮 。 
创建 点 对 点 连接 向 导 EE 
dR 国 


是 涛 A 人 IL2TP/TPsec 连 


他 对 于 传 入 L2TP 连接 交 许 预 共 享 寅 外 身份 验证 从) 


预 共 事 密 钥 B]); jerver A 
个 对 于 传 入 L2TP 连接 不 尤 许 预 共享 密 铀 身份 验证 四) 


Se A en 
以 mn YEN 客户 六 是 一 样 的 ,修改 此 设置 


TT 


图 16-92 


加 0 弹出 【网 络 地 址 〗 对 话 框 ， 如 图 16-93 所 示 ， 单 击 【 添 加 范围 】 按 钮 ， 设 置 远程 站 点 使 
用 的 内 部 私有 地 址 范围 。 


创建 点 对 点 连接 向 导 x 


地 让 
es 王 地 址 范围 。 该 范围 通常 与 隆 道 另 一 端的 内 部 范围 


Eish3) 
sg | 
ee 


《上 一 步 四 | 下 一 步 中 > 取消 


图 16-93 
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加 加 弹出 【JP 地 址 范围 属性 〗】 对 话 框 ， 如 图 16-94 所 示 ， 在 【起 始 地 址 〗 和 【结束 地 址 】 
本 框 中 输入 地 址 范围 “192.168.1.0~192.168.1.255”， 单 击 【 确 定 】 按 钮 。 


3 
指定 I 地 址 范围 : 
起 始 地 址 (8): 结束 地 址 到 ) 
192 . 168 1 0 192 . 168 1 255 
[Cw] wm | 


图 16-94 


加 2 返回 【网 络 地 址 1】 对 话 框 ,【 地 址 范围 】 选 项 列表 中 已 经 显示 添加 的 地 址 范围 , 如 图 16-95 
所 示 ， 单 击 【 下 一 步 〗 按 钮 。 


同 络 地 址 
ee J? 地 址 范围 。 该 范围 通常 与 隆 道 另 一 端的 内 部 范围 


= 


《上 一 步 中 | 下 一 步 吧 >| 取消 


图 16-95 
因 3) 弹出 【远程 NLB]〗 对 话 框 ， 如 图 16-96 所 示 ， 如 果 使 用 了 负载 平衡 技术 可 以 使 用 该 配置 ， 
本 实例 不 使 用 ， 单 击 【 下 一 步 】 按 钮 。 
创建 点 对 点 连接 向 导 


人 点 上 启用 了 网 络 负 载 平衡 ， 请 指定 远程 站 点 网 关 的 考 用 IF 


《上 一 步 四 | 下 一 步 中 | 取消 


图 16-96 
亨氏 弹出 【点 对 点 网 络 规则 】〗 对 话 框 ， 采 用 默认 配置 ， 单 击 【 下 一 步 】 按 钮 ， 如 图 16-97 所 示 


.473 。 


中 小 蜡 企 业 网 络 管理 实战 室 典 基于 Windows 平台 


应 加 | 
国有 Ey 
ET 


个 我 将 稍 后 外 了 建 网 络 规则 0D) 
+ 则 必须 为 此 点 对 点 同 络 自 寻 网络 规则 。 否 则 ,通讯 格 无 法 往返 


ed TE | 
图 16-97 
是 色 弹出 【点 对 点 网 络 访问 规则 】〗 对 话 框 ， 如 图 16-98 所 示 ， 在 【将 规则 应 用 于 这 些 协议 】 
下 拉 莱 单 选项 中 选择 【所 有 出 站 通信 】 选 项 ， 单 击 【 下 一 步 】 按 钮 。 


创建 点 对 点 连接 向 导 x 


点 对 点 网 络 访问 规则 
要 多 许 往返 新 的 VFN 点 对 点 网 络 的 通讯 ,需要 一 个 访问 规则 


® 解码 乓 ?YD 此 规则 格 交 洗 所 有 用 户 在 内 部 网 络 和 新 点 对 点 网 
有 由 让 天 就 - 


- 天 加 QD) 
a rT 
所 有 出 站 通信 | = 


个 我 格物 后 更 改 访问 策略 0D 
“ 则 必须 为 此 点 对 点 网 络 更 改 访问 策略。 否则 ,往返 此 网 络 


《上 一 步 四 [下 -和 步 中 | 取消 


图 16-98 


轴 86j VPN 点 对 点 连接 配置 完成 , 显示 出 配置 信息 ， 单 击 【 完 成 〗 按 钮 ， 结 束 向 导 ， 如 图 16-99 
所 示 。 


La 
正在 完成 新 建 VPN 点 对 点 网 络 向 导 


eet gece, a HR 


要 关闭 此 向 导 ， 请 单 击 “ 完 成 ”。 


<tsw[ RR |] mw | 


图 16-99 
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加 辐 弹出 【ISA Server 2006】 提示 框 ， 远 程 访问 服务 重启 ， 单 击 【确定 】 按 钮 ， 如 图 16-100 
所 示 。 


加 
省? 
CE ww | ww | 


图 16-100 


轩 8 弹出 【剩余 VPN 点 对 点 任务 】 提 示 框 ， 如 图 16-101 所 示 ， 提 示 还 有 哪些 VPN 连接 配置 
没有 完成 ， 可 按照 给 出 的 提示 继续 配置 点 对 点 的 VPN 连接 ， 单 击 【确定 】 按 钮 。 


剩余 YPW 点 对 点 任务 过 | 
可 能 希 要 进一步 的 卫 置 步骤 


图 16-101 


蜡 色 弹 回 程序 主 界面 ， 如 图 16-102 所 示 ， 在 【远程 站 点 】 选 项 卡 下 显示 出 新 增加 的 VPN 连 
接 状 态 信息 ， 单 击 【 应 用 】〗 按 钮 ， 使 配置 生效 。 


ver 2006 


6db32af13196 虚拟 专用 网 络 PED 


IG 


远程 站 点 任务 

局 创建 VPN 点 对 点 加 接 

篇 名 所 用 

XX 开除 所 竺 有 络 当 

转 区 用 所 此 有 洛 
本 查看 座 加 和 要 


常规 VPN 配置 
村 选择 访问 网络 国 
Ea [ L 


图 16-102 


忆 如 图 16-103 所 示 ， 在 左 侧 列表 中 选择 【防火 墙 策略 】〗 选 项 ， 在 右 侧 【防火 墙 策略 规则 】 
列表 中 显示 了 新 增 的 VPN 流量 通信 规则 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 基于 Windows 平台 


os Es| 
立 件 全 操 作 他 大寿 MW 天助 他 
委 沙 | 儿 | 加 | 贸 国 | 避 辽 X 中 昌 * 由 号 | 加 
1 Er 一 
四 Do 配 村 能 各 加 -sabazlaTag 防火 过 第 略 (e822 F13796) 
日 > 
白 局 -eauseselaree 
也 防火 卉 策略 ea-6 
虚 相 专用 网 络 (下 可 
日 问 配 置 
肯 腿 和 邯 器 
二 网 络 
他 如 下 
"器 桥 件 
目 常 有 
日 国 ? ” 恬 列 开 有 VPY 客 户 访 与 内 网 看 信 团 介 f 。 服 所 有 出 站 清 讯 局 VPW 客 P 请 PH 客户 注 pp 
之 内 部 过 内 部 
看 阵列 防火 墙 策略 之 后 应 用 的 企业 竹 略 规则 
国 最 全 业 默认 规则 四 公克 所 有 通读 芍 所 有 网络 ( 本 所 有 网 络 ( 移 所 有 用 户 
| 划 | 世 | S| 
Ea | 
图 16-103 


必 划 在 桌面 右 击 【我 的 电脑 〗 图 标 , 在 弹出 的 快捷 菜单 中 选择 【管理 】 菜单 命 令 ,， 如 图 16-104 
所 示 。 


图 16-104 


忆 2 弹出 【计算 机 管理 】 窗 口 ， 如 图 16-105 所 示 ， 在 左 侧 选 项 列表 中 选择 【计算 机 管理 】>> 
【系统 工具 】〗>【 本 地 用 户 和 组 〗> 【用户 】 选 项 ， 右 击 【 用 户 〗 选 项 ， 选 择 【 新 用 户 】 菜 单 命令 。 


图 16-105 


E3j 弹出 【新 用 户 〗 对 话 框 ， 如 图 16-106 所 示 ， 在 【用 户 名 】 文 本 框 中 输入 “serverB”， 选 
择 【 用 户 不 能 更 改 密码 〗 和 【密码 永 不 过 期 〗 复 选 框 ， 单 击 【 创 建 〗 按 钮 。 
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aE 

有 PS: =- 

全 各 加: 

二 ) 

ED: 

人 

下 用 户 于 次 写 录 时 须 更 受 记 到 轴 ) 

厅 用 户 不 家 更 以 客 码 ) 


图 16-106 


愉 纲 右 击 serverB 账户 ， 在 弹出 的 快捷 菜单 中 选择 【属性 】 莱 单 命令 ， 如 图 16-107 所 示 。 


氏 文件 四 拘 作 QI) 查看 9 窗口 四。 帮 肝 0 


=| 吕 | 
|=lelg 


中 由 因 |X 办 如 | 岛 田 


计算 有 管理 本地) 


由 地 最 务 和 克 用 旺 序 


TE 
管理 计算 机 ( 域 ) 的 内 置 帐 / 
来 宾 访 问 寺 算术 或 访问 


用 开 当 前 村 挥 的 原 性 对 油 区 。 


图 16-107 


记名 弹出 【serverB 属性 】〗 对 话 框 ， 如 图 16-108 所 示 ， 选 择 【〖 拨 入 】 选 项 卡 ， 在 【远程 访问 
权限 〗 中 有 三 个 选项 ， 如 果 不 使 用 远程 访问 策略 ， 直 接 选 【允许 访问 〗】 单 选 按钮 ， 单 击 【确定 】 按 


钮 。 


cz 了 个 


16-108 


中 小 型 企业 网 络 营 理 实战 笃 典 一 一 花 于 Windows 平台 


2. serverB |SA 服务 器 的 配置 
具体 的 操作 步骤 如 下 。 
i0J 打开 ISA Server 2006 程序 主 界面 ， 如 图 16-109 所 示 , 在 左 侧 选 项 列表 中 选择 【虚拟 专用 


网 (VPN) 〗 选项， 选择 【远程 站 点 〗 选 项 卡 ， 选 择 右 侧 【 任 务 】〗】 选 项 卡 的 【创建 VPN 点 对 点 连 
接 】 选 项 。 


助 的) 
OO) 


curity 


配置 存储 服务 器 : s*-6ah32af13796 虚拟 专用 网 络 PE 


要 多 评 PN 点 对 点 活 接 ， 必须 先 创建 一 个 远程 站 点 网 络 。 = 远程 站 点 任务 
re 5 We re 


要 创建 WH 远程 站 点 网 络 ， 请 在 任务 窗 格 中 单 击 包 建 VU 
关于 点 允 点 虚拟 专用 站 18 的 帮助 。 


站 常规 YPN 配置 
辐 这 择 过 问 网 络 

吨 定义 地 址 分 配 

困 园 择 身份 验证 方法 
车 指定 ADTVS 配置 


相关 任 名 国 
| 


图 16-109 


3 弹出 【创建 点 对 点 连接 向 导 〗 对 话 框 ， 如 图 16-110 所 示 ， 在 【点 对 点 网 络 名 称 】 文 本 框 
中 输入 “serverB”， 单 击 【 下 一 步 】〗 按 钮 。 
创建 点 对 点 连接 向 导 | 
欢迎 使 用 创建 VPN 点 对 点 连接 向 导 


| 关于 YEE 点 对 点 网 络 的 帮助 


要 继续 ， 请 单 击 “ 下 一 步 ”。 


¢ ES 取消 


图 16-110 


3) 弹出 【VPN 协议 】 对 话 框 ， 如 图 16-111 所 示 ， 现 在 本 连接 使 用 的 隧道 协议 ， 选 择 【IPsec 
上 的 第 二 层 隧道 协议 (L2TP ) 〗】 单 选 按钮 ， 单 击 【下 一 步 】 按 钮 。 
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创建 点 对 点 连接 向 导 xl 


YY 协议 
选择 此 YFN 协议 来 保护 站 点 间 发 送 的 通讯 。 


个 IP 安全 协议 (IPsec) 隆 道 乔 式 CD) 
提供 高 安全 性 以 及 与 第 三 方 VFN 提供 商 的 互 操作 性 . 


.也 手相 咒 或 FFTP ,将 在 远程 访问 服务 中 创 哇 与 网 络 名称 同 名 的 请 求 
挛 下 i 


‘上 - 步 [TF- 步 加 了 消 | 


图 16-111 


I0 绅 弹出 提示 框 ， 如 图 16-112 所 示 ， 提示 远 程 站 点 连接 本 站 点 进行 身份 认证 的 账户 必须 和 本 
向 导 创 建 的 网 络 同名 ， 即 本 向 导 创 建 了 “serverB”， 那 么 对 端 站 点 必须 要 创建 “serverB” 账 户 ， 
并 配置 拨 入 访问 权限 ， 单 击 【确定 〗】 按 钮 。 


soft Internet Security sni Acceleration Server 2006 x 


要 启用 连接 性 ， 必 须 有 匹配 网 络 名 称 的 用 户 帐 户 。 


| 


区 线 河 砚 
图 16-112 
I05) 弹出 【连接 所 有 者 〗 对 话 框 ， 如 图 16-113 所 示 ， 选 择 默认 配置 ， 单 击 【下 一 步 】 按 钮 。 
Ea 


连接 所 有 者 
指定 此 连接 的 ISA 服务 器 阵列 成 员 。 


人 
选择 连接 所 有 者 (E); 
CE 


| 


图 16-113 


to6j 弹出 【远程 站 点 网 关 】〗 对 话 框 ， 如 图 16-114 所 示 ， 在 【远程 站 点 VPN 服务 器 】 文 本 框 
中 输入 远程 站 点 的 卫 地 址 “61.192.93.100”， 单 击 【 下 一 步 】 按 钮 。 


中 小 型 企业 网 络 管 理 实战 富 典 -基于 Windows 平台 


EEEEEEEEE 四 
运程 站 点 同 关 
输入 远程 站 点 VPN 服务 器 的 JP 地 址 或 服务 器 名 称 PoD - 


远程 站 点 YPE 服务 器 @) 


FE 


sw [TB] mw | 
图 16-114 
L@ 弹出 【远程 身份 验证 】 对 话 框 ， 如 图 16-115 所 示 ， 配 置 允许 本 地 站 点 连接 远程 站 点 的 账 
户 信息 ， 用 户 名 必须 是 远程 站 点 创建 的 VPN 点 对 点 连接 的 网 络 名 ， 本 实例 采用 “serverA”， 单 击 
【下 一 步 〗】 按 钮 。 


创建 点 对 点 连接 向 导 xl 


eas, 需要 运程 站 点 上 的 用 户 帐户 [| 


厅 区 许可 地 站 点 使 用 此 用 记 帐 尸 启动 到 有 远程 站 点 的 连接 和 A); 


— mm | 
图 16-115 


08) 弹出 【L2TP/IPsec 传 出 身份 验证 〗】 对 话 框 ， 如 图 16-116 所 示 ， 如 果 站 点 两 端 都 可 以 从 同 
一 个 证 书 认 证 机 构 获得 数字 证 书 ， 则 选择 【证 书 身份 验证 】 单 选 按钮 ， 本 实例 采用 【 预 共享 密 钥 身 
份 验证 】〗， 预 共享 密 钥 为 “serverAB”， 单 击 【 下 一 步 〗 按 钮 。 
加 


12TP/IPsee 传 出 身份 验证 
指定 用 于 连接 允 脖 程 站 点 的 IPsec 身份 验证 方法 。 


《上 一 步 @)| 下 一 步 中 )| 取消 


图 16-116 


“480 。 
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to9j 弹出 【输入 L2TP/IPsec 身份 难 证 〗】 对 话 框 ， 如 图 16-117 所 示 ， 在 【 预 共 享 密 钥 】 文 本 杠 
中 输入 “serverAB”， 单 击 【 下 一 步 〗 按 钮 。 


创建 点 对 点 连接 向 导 xj 
传 入 L2TP/TIPsee 身 


备 驮 证 
为 传 入 L2TF/IPsee 连接 选择 身份 验证 方法 。 


是 小 A 人 身份 验证 的 方法 通常 与 为 传 出 L2TP/IPsee 连 


他 对 于 传 入 12TP 连接 克 许 预 共享 密 钥 身份 验证 A) 


现 近 守 钥 中 : erverAH] 
个 对 于 传 入 LI2TP 连接 不 允许 预 共享 密 钢 身份 验证 四) 
Es ec 连接 进行 身份 验证 。 使 用 预 共 
I2TP/IPsec 


AN i YPN 客户 端 是 一 样 的 ， 修 改 此 设置 


《上 一 步 中 取消 


图 16-117 


型 弹出 【网 络 地 址 〗】 对 话 框 ， 如 图 16-118 所 示 ， 单 击 【 添 加 范围 】 按 钮 ， 设 置 远程 站 点 使 
用 的 内 部 私有 地 址 范围 。 


创建 点 对 点 连接 向 导 


本 


网 络 | 
揽 远程 站 点 网 络 的 IP 地 址 范围 。 该 范围 通常 与 隆 道 另 一 端的 内 部 范围 


《上 一 步 四 | 下 - 步 中 > 取消 
图 16-118 


加 加 弹出 【IP 地 址 范围 属性 】 对 话 框 ， 如 图 16-119 所 示 ， 在 【起 始 地 址 〗】 和 【结束 地 址 】 文 
本 框 中 输入 地 址 范围 “192.168.1.0~192.168.1.255”， 单 击 【 确 定 】 按 钮 . 


3 
指定 IF 地 址 范围 : 
起 始 地 址 GE) : 结束 地 址 到) 
192 . 168 1 0 192 . 168 1 255 
eel 


图 16-119 


加 2 返回 【网 络 地 址 】 对 话 框 ， 如 图 16-120 所 示 ， 这 时 【地 址 范围 】 选 项 列表 中 已 经 显示 添 
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加 的 地 址 范围 ， 单 击 【 下 一 步 】 按 钮 。 
| 
en 了? 地 址 范围 。 读 范 转 看 党 与 隆 道 另 一 端的 内 部 范围 

相 区 有 


《上 一 步 @)| 下 一 步 四 ?| 取消 


图 16-120 


四 弹出 【远程 NLB】 对 话 框 , 如 图 16-121 所 示 , 如 果 使 用 了 负载 平衡 技术 可 以 使 用 该 配置 ， 
本 实例 不 使 用 ， 单 击 【 下 一 步 】 按 钮 。 


-wz@ me | 


图 16-121 


因 弛 弹出 【点 对 点 网 络 规则 】 对 话 框 ， 如 图 16-122 所 示 ， 采 用 默认 配置 ， 单 击 【下 一 步 】 按 
钮 
加 


《< 上- 步 ®) [下 一 步 加 站 取消 


图 16-122 
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加 名 弹出 【点 对 点 网 络 访问 规则 】 对 话 框 ， 如 图 16-123 所 示 ， 在 【将 规则 应 用 于 这 些 协议 】 
下 拉 莱 单 选项 中 选择 【所 有 出 站 通讯 〗 选 项 ， 单 击 【 下 一 步 〗 按 钮 . 
到 
a 点 对 点 网络 的 通讯 ， 需 要 一 个 访问 规则 . 
[9 钥 厂 航 ?Y 9 此 规则 格 允 许 所 有 用 户 在 内 部 网 络 和 新 点 对 点 网 


访问 规则 名 称 的 ); [元 村 serverB 和 内 部 网 洁 之 问 相互 访问 
将 规则 应 用 于 这 此 协议 QD): 


E32 
租 嫩 加 ) 
所 有 出 站 通讯 ET 
个 要 格 稍 后 更 改 访问 策略 00 


。， 则 必须 为 此 点 对 点 网 络 更 改 访问 策略 。 否则， 往返 此 网 络 


《上 一 步 四 [下 - 步 四 )] 取消 


图 16-123 


轩 6 VPN 点 对 点 连接 配置 完成 ， 显 示 出 配置 信息 ， 单 击 【 完 成 了 按钮， 结束 向 导 ， 如 图 16-124 
所 示 。 


创建 点 对 点 连接 向 导 对 


正在 完成 新 建 VPN 点 对 点 网 络 向 导 


a 了 新 建 
YPN 点 对 点 同 络 向 导 。 新 建 网 络 
人 鬼 吕 入 
名 称 |- 
ee 
协议 : 
L2TP/IPsec 
连接 所 有 : 
adb32af13796 
远程 YPN 服务 器 


A » 
人 


要 关闭 此 向 导 ， 请 单 击 “ 完 成 ”。 


sw ww | 


图 16-124 


加 本 弹出 【ISA Server 2006】 提 示 框 ， 如 图 16-125 所 示 ， 远 程 访 问 服务 重启 ， 单 击 【确定 】 
按钮 。 


习 
作 、 玫 二 
确定 取消 | 帮助 | 


图 16-125 


加 8 弹出 【剩余 VPN 点 对 点 任务 】〗】 提 示 框 ， 如 图 16-126 所 示 ， 提 示 还 有 哪些 VPN 连接 配置 
没有 完成 ， 可 按照 给 出 的 提示 继续 配置 点 对 点 的 VPN 连接 ， 单 击 【 确 定 】〗 按 钮 。 


“483 。 
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剩余 YPE 点 对 点 任务 EE 
可 能 重要 进一步 的 配置 步 村 


有 和 家 户 对 户 - 用 户 辅 户 称 必须 二] 


图 16-126 


晶 昌 弹 回 程序 主 界面 , 在 【远程 站 点 】 选 项 卡 下 显示 出 新 增加 的 VPN 连接 状态 信息 , 单 击 【 应 
用 】 按 钮 ， 使 配置 生效 ， 如 图 16-127 所 示 


ll 


Eh 
加 了 向 同 加 团子 X 加 9 
区 局 人 


0 em 


新 增加 点 对 
点 VPN 连接 


TE 


常规 VPN 配置 
EL EE 
E23 F FE 


图 16-127 


区 gj 在 左 侧 列表 中 选择 【防火 墙 策略 〗 选 项 ， 在 右 侧 【防火 墙 策略 规则 】〗 列 表 中 显示 了 新 增 
的 VPN 流量 通信 规则 ， 如 图 16-128 所 示 。 


点 对 点 VPN 连 


BE 1 
于 了 太 过 项 本 之 而 朵 用 的 企业 秆 时 攻 则 


大 过 和 本 
:有 
SA A 


在 隔 和 了 大 坡 和 路 后 应 用 的 企业 委 世 要 则 
Oa 2 RN ze。 起 Hg 为 FU 为 FPC 鸭 FWP 


。 | 1 到 | 


图 16-128 
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尼 在 桌面 右 击 【 我 的 电脑 】 图 标 , 在 弹出 的 快捷 菜单 中 选择 【管理 〗 菜 单 命令 , 如 图 16-129 
所 示 。 


图 16-129 
愉 23 弹出 【计算 机 管理 】 窗 口 ， 如 图 16-130 所 示 ， 在 左 侧 选 项 列表 中 选择 【计算 机 管理 】> 
【系统 工具 】>【 本 地 用 户 和 组 〗> 【用户 】 选 项 ， 右 击 【 用 户 】 选 项 ， 在 弹出 的 快捷 菜单 中 选择 
【新 用 户 】 菜 单 命令 。 


时 文件 四 换 作 由， 查看 WW 窗口 和 ) 帮助 和 D |=lel- 
御 沾 | 全 | 园 | 日 妃 | 久 国 


图 16-130 


民 引 弹出 【新 用 户 〗 对 话 框 ， 如 图 16-131 所 示 ， 在 【用 户 名 】 文 本 框 中 输入 “serverA”， 选 
择 【 用 户 不 能 更 改 密码 〗 和 【密码 永 不 过 期 〗 复 选 框 ， 单 击 【创建 】 按 钮 。 


了 
用 户 名 四: eve 
全 名 加 ): 
描述 虽 : 


SD): Ce 
确认 刘 码 CI 

三 用 户 于 大 营 录 时 项 更 改变 友人 
厅 用 户 不 能 更 疏 密码 人) 

玉 二 水 不 过 其 

厂 帐户 已 禁用 @) 


图 16-131 


愉 Y 右 击 serverA 账户 ， 在 弹出 的 快捷 莱 单 中 选择 【属性 】 菜 单 命令 ， 如 图 16-132 所 示 。 


.485 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 具 于 Windows 平台 


轧 文 件 四 操作 @) 查看 响 。 窗口 四 稻 助 中 | =l@lz 


管理 计算 机 ( 喊 ) 的 内 置 帐 / 
供 来 宾 访 问 计算 机 或 访问 # 


富国 事件 查 看 器 
让 全 共 训 文 人 天 


图 16-132 


区 g 如 图 16-133 所 示 ， 弹 出 【serverA 属性 】〗 对 话 框 ， 选 择 【 拨 入 】〗 选 项 卡 ， 在 【远程 访问 
权限 】〗 中 有 三 个 选项 ， 如 果 不 使 用 远程 访问 策略 ， 直 接 选 【允许 访问 】〗 单 选 按钮 ， 单 击 【 确 定 】 按 
钮 。 


第 规 ee | em | 


远程 访问 权限 撕 入 或 YI 


个 拒绝 访问 m) 
个 通过 运程 访问 第 略 控制 访问 @) 
iy 广 DD): | 


E 


不 回 拨 避 ) 
个 由 叮 叫 方 设置 人 路 由 和 远程 访问 服务 ) G) 
个 总 是 回执 0D)- 


厂 分 本 静 老 TP 地 址 G) | essl 
应 用 静帝 路 由 级 ) 一 一 一 一 一 一 一 一 一 一 一 一 一 一 
为 此 搞 入 连接 定义 要 局 用 的 路 由 。 Lg. 


图 16-133 


16.4 ”专家 答疑 


(1) 远程 访问 VPN 和 远程 站 点 VPN 两 种 连接 方式 ， 是 否 适用 于 所 有 情况 呢 ? 

答 : 远程 访问 VPN 和 远程 站 点 VPN 虽然 可 以 解决 大 部 分 人 对 互联 网 信息 安全 传输 的 需求 ， 
但 是 互联 网 应 用 复杂 ， 很 多 情况 下 这 两 种 方式 是 不 适用 的 。 

首先 ， 这 两 种 方式 需要 客户 提前 支付 固定 的 宽带 连接 费用 ， 无 论 使 用 VPN 技术 传输 了 多 少 信 
息 , 费用 都 已 经 固定 了 。 但 是 如 果 信 息 传输 量 少 , 只 是 偶尔 需要 进行 数据 传输 ， 又 该 如 何 使 用 呢 ? 
银行 的 网 络 是 比较 特殊 的 一 类 ， 每 一 天 ATM 机 都 需要 与 银行 的 服务 器 互 连 ， 但 是 ATM 机 的 数量 
很 庞大 ， 如 果 为 所 有 ATM 机 开放 一 个 固定 带宽 的 宽带 接口 ， 那 这 个 费用 消耗 太 大 。ATM 机 并 不 需 
要 一 直 保 持 VPN 连接 ,只 需要 在 用 户 使 用 其 进行 账户 业务 办 理 时 才 需 要 与 服务 器 进行 临时 的 通信 ， 
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而 且 通 信 量 很 小 ， 为 了 节省 开支 ， 银 行 可 以 采用 按照 流量 收费 的 VPN 方式 。 

目前 银行 系统 使 用 的 VPN 技术 都 是 MPLS VPN。 它 不 但 具备 VPN 的 普通 安全 功能 ， 同 时 还 
可 以 实现 流量 收费 业务 。 

(2) 如 果 远 程 客户 端 进行 VPN 连接 失败 ， 主 要 原因 有 哪些 ? 

答 : 无 论 使 用 哪 一 种 VPN 连接 方式 ， 都 需要 连接 两 端 使 用 相 匹配 的 设置 ， 如 果 配 置 不 匹配 ， 
很 容易 导致 连接 失败 ， 主 要 有 以 下 几 点 匹配 项 需要 注意 。 

外 远程 访问 策略 : 如 果 在 访问 策略 中 设置 了 禁止 转发 的 配置 ， 会 直接 拒绝 连接 请 求 。 

@ 加 密 认证 : VPN 隧道 中 传输 数据 时 ， 要 进行 加 密 和 解密 操作 ， 如 果 两 端 配置 的 加 密 技 术 不 
同 ， 也 无 法 实现 连通 。 

@VPN 隧道 协议 : 需要 使 用 VPN 隧道 协议 来 建立 连接 , 但 是 基于 数据 链 路 层 和 网 络 层 的 隧道 
协议 都 有 ， 如 果 两 端 选 择 的 不 一 样 ， 是 不 可 能 构成 联 道 的 。 如 果 使 用 了 IPsec 还 需要 考虑 认证 证 书 
的 问题 ， 如 果 认 证 证 书 服务 器 不 能 正常 工作 ， 也 会 影响 VPN 连接 的 建立 。 

图 身份 验证 : 在 进行 VPN 连接 建立 时 ， 无 论 哪 种 VPN 技术 都 需要 有 身份 验证 ， 作 为 远程 访 
问 VPN 需要 配置 特定 用 户 人 允许 拨 入 的 权限 ， 如 果 是 远程 站 点 VPN， 除 了 要 有 用 户 权限 外 ， 还 要 考 
虑 两 端的 身份 验证 账户 配置 的 是 否 匹 配 。 
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随 着 互联 网 的 逐步 普及 ， 网 络 安全 成 为 了 一 个 首要 问题 。 由 于 对 系统 的 安全 需求 也 越 来 越 
高 ， 入 侵 检测 系统 就 应 运 而 生 了 。 入 侵 检测 系统 是 为 保证 计算 机 网 络 系统 的 安全 而 设计 的 ， 该 
系统 可 以 及 时 发 现 并 报告 系统 中 未 授权 或 异常 的 现象 ， 其 作用 主要 是 检测 计算 机 网 络 中 违反 安 
全 策略 的 行为 。 


17.1 入 侵 检测 系统 的 概述 


除 防火 墙 和 杀毒 系统 的 防护 外 ， 入 侵 检测 技术 也 是 一 种 抵御 黑客 攻击 的 有 效 方式 。 随 着 入 侵 
检测 技术 的 不 断 完善 和 发 展 ， 入 侵 检 测 产品 的 市 场 也 越 来 越 大 ， 真 正 掀起 了 维护 网 络 安全 的 热潮 。 


17.1.1 什么 是 入 侵 检 测 系统 


进行 入 侵 检测 的 软件 与 硬件 的 组 合 便 是 入 侵 检 测 系统 ， 入 侵 检测 系统 是 主动 保护 自己 免 受 攻 
击 的 一 种 网 络 安全 系统 ， 作 为 防火 墙 的 合理 补充 ， 入侵 检 测 系统 能 够 帮助 系统 对 付 网 络 的 攻击 , 这 
就 在 一 定 程度 上 提高 了 系统 管理 员 的 安全 管理 能 力 , 包括 安全 审计 、 监 视 、 攻 击 识别 和 响应 等 ， 也 
提高 了 信息 安全 基础 结构 的 完整 性 。 

通过 使 用 入 侵 检测 软件 ， 收 集 计 算 机 网 络 或 计算 机 系统 中 的 若干 关键 点 的 信息 ， 并 对 这 些 信 
息 进行 分 析 , 从 中 发 现 网 络 或 系统 中 是 否 有 违反 安全 策略 的 行为 和 被 攻击 的 迹象 。 与 其 他 安全 产品 
不 同 的 是 , 入 侵 检 测 系统 需要 更 多 的 智能 , 它 必 须 可 以 将 得 到 的 数据 进行 分 析 , 并 得 出 有 用 的 结果 。 


17.1.2 入侵 检测 系统 的 基本 功能 与 组 成 


一 个 合格 的 入 侵 检测 系统 能 大 大 简化 网 络 管理 员 的 工作 ， 保 证 网 络 安全 的 运行 。 因 此 ， 入 侵 
检测 被 认为 是 防火 墙 之 后 的 第 二 道 安全 闸门 , 在 不 影响 网 络 性 能 的 情况 下 对 网 络 进行 监测 ， 从 而 提 
供 对 内 部 攻击 、 外 部 攻击 和 误 操作 的 实时 防护 ， 还 能 给 网 络 安全 策略 的 制定 提供 指南 。 

更 为 重要 的 一 点 是 ， 它 管理 、 配 置 简单 ， 从 而 使 非 专业 人 员 非 常 容 易 地 实现 网 络 安全 。 而 且 ， 
它 的 规模 还 可 根据 网 络 威胁 、 系 统 构造 和 安全 需求 的 改变 而 改变 。 入 侵 检测 系统 在 发 现 入 侵 后 ,会 
及 时 做 出 响应 ， 包 括 切 断 网 络 连接 、 记 录 事 件 和 报警 等 。 

具体 来 说 ， 入 侵 检测 系统 的 主要 功能 有 。 


(1) 监测 并 分 析 用 户 和 系统 的 活动 。 
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(2) 核查 系统 配置 和 漏洞 。 

(3) 评估 系统 关键 资源 和 数据 文件 的 完整 性 。 

(4) 识别 已 知 的 攻击 行为 。 

(5) 统计 分 析 异 常 行为 。 

(6) 操作 系统 日 志 管理 ， 并 识别 违反 安全 策略 的 用 户 活动 。 

入 侵 检 测 系统 是 用 来 检测 网 络 系统 ， 或 者 更 广泛 意义 上 的 信息 系统 中 的 非法 攻击 。 入 侵 检 测 
系统 主要 由 如 下 4 个 部 分 组 成 。 

(1) 数据 收集 装置 : 收集 反映 状态 信息 的 审计 数据 。 

(2) 检测 器 :负责 分 析 和 检测 入 侵 ， 并 发 出 警告 信息 。 

(3) 知识 库 : 提供 必要 的 数据 信息 支持 。 

(4) 控制 器 :根据 警告 信息 ， 人 工 或 自动 做 出 相应 动作 。 

其 系统 结构 如 图 17-1 所 示 。 


图 17-1 


17.1.3 ”入 侵 检测 系统 的 发 展 方向 


入 侵 检测 系统 可 以 弥补 防火 墙 的 不 足 ， 为 网 络 提供 实时 的 监控 ， 并 且 在 发 现 入 侵 初 期 就 采取 
相应 的 防护 手段 , 目前 入 侵 检 测 系统 已 经 被 大 多 数组 织 机 构 所 接受 。 由 于 入 侵 检 测 系统 存在 着 一 些 
问题 ， 所 以 其 发 展 方向 也 成 为 大 家 关注 的 热点 。 


1. 分 析 技 术 的 改进 


分 析 技 术 的 改进 可 以 解决 入 侵 检测 系统 的 误 报 和 漏 报 问题 。 目 前 入 侵 检测 分 析 方 法 主要 有 统 
计 分 析 、 模 式 匹 配 、 数 据 重组 、 协 议 分 析 、 行 为 分 析 等 几 种 。 


(1) 统计 分 析 : 统计 网 络 中 相关 事件 发 生 的 次 数 ， 达 到 判断 攻击 的 目的 。 

(2) 模式 匹配 :利用 对 攻击 的 特征 字符 进行 匹配 完成 对 攻击 的 检测 。 

(3) 数据 重组 : 对 网 络 连接 的 数据 流 进 行 重组 再 加 以 分 析 ， 而 不 只 是 分 析 单 个 数据 包 。 

(4) 协议 分 析 技 术 : 在 对 网 络 数据 流 进行 重组 的 基础 上 ， 理 解 并 应 用 协议 ， 利 用 模式 匹配 和 
统计 分 析 的 技术 来 判断 攻击 是 否 存 在 。 利 用 该 项 技术 可 以 有 效 降 低 误 报 和 漏 报 概率 。 
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(5) 行为 分 析 技术 :该 技术 不 仅 简单 分 析 单 次 攻击 事件 ,还 根据 前 后 发 生 的 事件 确认 是 否 确 有 
攻击 发 生 ,攻击 行为 是 否 生效 。 它 是 入 侵 检测 分 析 技 术 的 最 高 境界 ， 由 于 算法 处 理 和 规则 制定 的 难 
度 很 大 ， 目 前 还 不 是 非常 成 熟 ， 但 却 是 入 侵 检测 技术 未 来 发 展 的 趋势 。 

目前 最 好 综合 使 用 多 种 检测 技术 ， 而 不 只 是 依靠 传统 的 统计 分 析 和 模式 匹配 技术 。 另 外 ， 规 
则 库 是 否 及 时 更 新 也 会 影响 检测 的 准确 程度 。 

2 内 容 恢复 和 网 络 审计 功能 的 引入 


由 于 入 侵 检测 的 最 高 境界 是 行为 分 析 ， 但 行为 分 析 目 前 还 不 是 很 成 熟 ， 所 以 有 的 入 侵 检测 产 
品 中 就 引入 了 内 容 恢 复 和 网 络 审计 两 项 功能 。 

(1) 内 容 恢复 ， 在 协议 分 析 的 基础 上 ， 对 网 络 中 发 生 的 行为 加 以 完整 的 重组 和 记录 ， 所 以 网 
络 中 发 生 的 任何 行为 都 光 不 过 它 的 监控 。 

(2) 网 络 审计 ， 是 对 网 络 中 所 有 的 连接 事件 进行 记录 。 入 侵 检测 的 接 入 方式 决定 入 侵 检测 系 
统 中 的 网 络 审计 。 不 仅 可 以 像 防火 墙 那样 记录 网 络 进出 信息 ， 还 可 记录 网 络 内 部 连接 状况 。 该 功能 
对 内 容 无 法 恢复 的 加 密 连 接 尤其 有 用 。 

内 容 恢 复 和 网 络 审计 可 以 帮助 网 络 管理 员 了 解 到 网 络 的 真正 运行 状况 ， 其 实 就 是 调动 网 络 管 
理 员 参与 行为 分 析 过 程 。 这 样 网 络 管理 员 不 仅 可 以 看 到 孤立 的 攻击 事件 的 报警 , 还 可 以 看 到 整个 攻 
击 过 程 、 了 解 攻击 确实 发 生 与 否 、 查 看 攻击 者 的 操作 过 程 以 及 攻击 造成 的 危害 。 不 但 可 以 发 现 已 知 
攻击 ， 还 可 以 发 现 未 知 攻击 。 但 使 用 此 功能 需 注意 对 用 户 隐私 的 保护 。 

3 集成 网 络 分 析 和 管理 功能 

入 侵 检测 不 仅 检测 网 络 攻击 ， 同 时 还 可 以 收 到 网 络 中 的 所 有 数据 ， 对 网 络 的 故障 分 析 与 管理 
也 起 到 重大 作用 。 入 侵 检测 不 应 只 采用 被 动 分 析 方 法 ， 最 好 能 和 主动 分 析 技术 相 结合 。 所 以 ， 入 侵 
检测 产品 集成 网 管 、 扫 措 器 、 嗅 探 器 等 功能 是 其 以 后 发 展 的 方向 。 

4 安全 性 和 易 用 性 的 提高 

入 侵 检测 系统 本 身 就 是 一 个 安全 产品 ， 其 自身 安全 极为 重要 。 所 以 目前 的 入 侵 检测 产品 大 多 
采用 硬件 结构 、 黑 洞 式 接 入 等 方式 来 确保 自身 的 安全 。 同 时 ， 对 易 用 性 的 要 求 也 日 益 增 强 ， 例 如 
全 中 文 的 图 形 界面 ， 自 动 的 数据 库 维护 ， 多 样 的 报表 输出 , 这些 都 是 优秀 入 侵 检测 产品 的 特性 和 以 
后 继续 发 展 的 趋势 。 

5， 改 进 对 大 量 网 络 数据 的 处 理 方法 

随 着 大 量 网 络 数 据 的 出 现 ， 对 入 侵 检测 的 性 能 要 求 也 逐步 提高 ， 出 现 了 千 兆 入侵 检测 等 产品 。 
但 如 果 入 侵 检测 检测 产品 既 要 具备 攻击 分 析 , 同时 又 要 具备 内 容 恢复 和 网 络 审计 功能 , 则 其 存储 系 
统 也 很 难 完全 工作 在 千 光 网络 环境 下 。 在 这 种 情况 下 ， 网 络 数据 分 流 是 一 个 很 好 的 解决 方案 ,这 也 
是 国际 上 较 通用 的 一 种 作法 。 

6， 防火墙 联动 功能 

防火 墙 联动 功能 是 指 当 入 侵 检 测 发 现 攻击 时 ， 将 攻击 信息 自动 发 送 给 防火 墙 ， 防 火 增 加 载 动 


* 490: 


入 侵 检测 系统 第 17 章 


态 规则 拦截 入 侵 。 但 如 果 无 限制 使 用 联动 (如 未 经 充分 测试 ) 会 对 防火 墙 的 稳定 性 和 网 络 应 用 造成 
负面 影响 。 


17.1.4 ”入 侵 检测 系统 的 缺陷 


入 侵 检测 系统 有 如 此 重大 的 作用 ， 但 在 国内 的 应 用 还 远 远 没有 普及 ， 一 方面 是 由 于 用 户 的 认 
知 程度 较 低 , 另 一 方面 是 因为 入 侵 检测 是 一 门 比较 新 的 技术 , 不 是 所 有 厂商 都 具有 研发 入 侵 检测 产 
品 的 实力 。 

目前 的 入 侵 检 测 产 品 大 多 存在 如 下 几 个 问题 。 

(1) 误 报 、 漏 报 率 高 。 入 侵 检 测 系统 对 网 络 上 所 有 的 数据 进行 分 析 ， 如 果 攻 击 者 对 系统 进行 
攻击 尝试 ， 而 系统 相应 服务 开放 ， 只 是 漏洞 已 经 修补 ， 那 么 这 一 次 攻击 是 否 需要 报警 ， 就 是 一 个 需 
要 检测 系统 判断 的 问题 ,但 大 量 的 报警 事件 会 分 散 管理 员 的 精力 ,反而 无 法 对 真正 的 攻击 做 出 反映 。 
和 误 报 相对 应 的 是 漏 报 ， 随 着 攻击 的 方法 不 断 更 新 ,入侵 检测 系统 是 否 能 报 出 网 络 中 所 有 的 攻击 也 
是 一 个 问题 。 

(2) 产品 适应 能 力 低 。 传 统 入 侵 检测 系统 产品 在 开发 时 没有 考虑 特定 网 络 环境 的 需求 。 随 着 
网 络 技术 的 不 断 发 展 ， 网 络 设备 也 变 得 复杂 化 、 多 样 化 ,这 就 需要 入 侵 检测 产品 能 动态 调整 ， 以 适 
应 不 同 环境 的 需求 。 

(3) 大 型 网 络 的 管理 问题 。 现 在 企业 规模 在 不 断 扩大 ， 对 入 侵 检测 系统 产品 的 需求 从 单 点 发 
展 到 跨 区 域 甚至 全 球 , 这 就 使 公司 把 产品 的 管理 问题 提 上 日 程 。 首先 需要 确保 新 的 产品 体系 结构 能 
够 支持 数 以 百 计 的 入 侵 检测 系统 传感器 ; 还 要 能 够 处 理 传感器 产生 的 告警 事件 ; 最 后 还 要 解决 攻击 
特征 库 的 建立 、 配 置 以 及 更 新 问题 。 

(4) 缺少 防御 功能 检测 。 由 于 入 侵 检测 系统 是 采取 被 动 监 听 的 方式 发 现 网 络 问题 ， 无 法 主动 
发 现 网 络 中 的 安全 隐患 和 故障 。 如 何 解决 这 个 问题 也 是 入 侵 检 测 产品 面临 的 挑战 , 所 以 需要 在 下 一 
代入 侵 检测 系统 产品 中 嵌入 防御 功能 ， 才 能 变 被 动 为 主动 。 

(5) 评价 入 侵 检 测 系统 产品 没有 统一 标准 。 对 入 侵 检 测 系统 的 评价 目前 还 没有 统一 的 标准 ， 
使 入 侵 检测 系统 之 间 不 易 互 联 。 随 着 技术 的 发 展 和 对 新 攻击 识别 的 增加 , 入 侵 检测 系统 需要 不 断 升 
级 才能 保证 网 络 的 安全 性 。 

(6) 处 理 速度 上 的 瓶颈 。 随 着 高 速 网 络 技术 如 ATIM、 千 兆 以 太 网 等 的 相继 出 现 ， 入 侵 检 测 产 
品 能 否 高 效 处 理 网 路 中 的 数据 , 也 是 衡量 入 侵 检测 产品 的 重要 依据 。 如何 实现 高 速 网 络 下 的 实时 入 
侵 检 测 是 急需 解决 的 问题 ， 因 为 目前 的 百 兆 、 千 兆 入 侵 检测 系统 产品 的 性 能 指标 ， 与 实际 要 求 还 存 
在 很 大 的 差距 。 


17.2 入侵 检测 系统 的 分 类 


根据 监测 对 象 不 同 ， 入 侵 检 测 系 统 可 分 为 多 种 ， 常 见 的 有 基于 主机 的 入 侵 检 测 、 基 于 网 络 的 
入 侵 检测 、 误 用 入 侵 检测 和 混合 性 入 侵 检测 等 ， 下 面 就 对 这 几 种 典型 的 入 侵 检测 系统 进行 介绍 。 
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17.2.1 基于 主机 的 入 侵 检测 系统 


基于 主机 的 入 侵 检 测 系 统 是 早期 的 入 侵 检 测 系统 结构 ， 其 检测 的 目标 主要 是 主机 系统 和 本 地 
用 户 系 统 。 在 这 种 环境 下 ， 入侵 检 测 的 任务 被 大 大 简化 。 检测 原理 是 根据 主机 的 审计 数据 和 系统 日 
志 发 现 可 疑 事件 , 给 出 关于 怀疑 为 不 安全 行为 的 报告 。 检测 系统 可 以 运行 在 被 检测 主机 或 单独 主机 
上 ， 系 统 结构 如 图 17-2 所 示 。 


攻击 模式 库 


配置 系统 库 入 侵 检 测 器 


+ 


两 种 主要 基于 主机 的 入 侵 检 测 类 型 是 


(1) 网 络 监视 器 。 它 监视 主机 的 网 络 连接 ， 并 试图 判断 这 些 连接 是 否 是 一 个 威胁 。 并 可 检查 
出 网 络 连 接 表达 的 一 些 试图 进行 的 入 侵 类 型 。 记 住 ， 这 与 基于 网 络 的 入 侵 检测 不 同 ， 因 为 它 只 监视 
它 所 运行 的 主机 上 的 网 络 通信 ， 而 不 是 通过 网 络 的 所 有 通信 。 基 于 此 种 原因 ， 它 不 需要 网 络 接口 处 
于 混杂 模式 。 

(2) 主机 监视 器 。 它 监视 文件 、 文 件 系统 、 日 志 或 主机 其 他 部 分 ， 查 找 特定 类 型 的 活动 ， 进 
而 判断 是 否 是 一 个 入 侵 企 图 〈 或 一 个 成 功 的 入 侵 ) 之 后 ， 通 知 系统 管理 员 。 

基于 主机 入 侵 检 测 的 优点 主要 体现 在 : 当主 机 数量 较 少时 ， 该 种 方法 的 性 能 价格 比较 高 ， 该 
种 方法 可 以 很 容易 检测 一 些 活动 , 而 这 些 活动 很 难 在 基于 协议 的 系统 中 被 发 现 ; 如 果 黑 客 得 到 用 户 
的 主机 名 和 密码 后 , 基于 主机 的 代理 是 很 容易 区 别 正 常 活动 和 非法 活动 的 ; 每 个 主机 有 其 自己 的 代 
理 ， 用 代理 的 方式 一 般 不 会 因为 网 络 流量 的 增加 而 丢掉 对 网 络 行为 的 监控 。 

其 缺点 在 于 : 由 于 操作 系统 平台 提供 的 日 志 信息 格式 不 同 ， 必 须 针 对 不 同 的 操作 系统 安装 不 
同 的 入 侵 检测 系统 。 如 果 入 侵 者 通过 其 他 系统 漏洞 入 侵 系统 并 取得 管理 者 的 权限 , 那 将 会 导致 主机 
型 入 侵 检测 系统 失效 ;会 因 分 布 式 (Denail of Service，DoS ) 攻击 而 失效 ， 当 监控 分 析 时 会 增加 该 
台 主 机 的 系统 资源 负荷 ， 从 而 影响 被 监测 主机 的 性 能 , 甚至 成 为 入 侵 者 利用 的 工具 使 被 监测 的 主机 
因为 负荷 过 重 而 死机 。 


17.2.2 ”基于 网 络 的 入 侵 检测 系统 
基于 网 络 入 侵 检 测 是 通过 分 析 主机 之 间 网 线 上 传输 的 信息 来 工作 的 。 它 是 利用 一 个 工作 在 混 
杂 模式 (Promiscuous Mode) 下 的 网 卡 ， 来 实时 监视 并 分 析 通过 网 络 的 数据 流 。 它 的 分 析 模 块 通常 
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使 用 模式 匹配 、 统 计 分 析 等 技术 来 识别 攻击 行为 ， 其 结构 如 图 17-3 所 示 。 


网 络 安全 数据 库 


| 探 器 | 探测 器 | 
| 网 络 接口 屋 | 
图 17-3 


这 种 类 型 的 系统 放置 在 网 络 上 ， 靠 近 该 系统 或 者 系统 群 ， 它 们 检查 网 络 通信 并 判断 是 否 在 可 
接受 的 范围 内 。 基 于 网 络 的 入 侵 检测 系统 监视 整个 网 络 的 通信 。 
网 络 接口 卡 〈NIC) 可 以 在 如 下 两 种 模式 下 工作 : 


(1) 正常 模式 。 需 要 发 送 到 计算 机 《〈 通 过 包 的 以 太 网 或 MAC 地 址 进行 判断 ) 的 数据 包 ， 通 
过 该 主机 系统 进行 中 继 转 发 。 

(2) 混杂 模式 。 此 时 以 太 网 上 所 能 见 到 的 数据 包 都 向 该 主机 系统 中 继 。 一 块 网 卡 可 以 从 正常 
模式 向 混杂 模式 转换 ,通过 使 用 操作 系统 的 底层 功能 就 能 直接 告诉 网 卡 进行 如 此 改变 。 通常 ,基于 
网 络 的 入 侵 检测 系统 要 求 网 卡 处 于 混杂 模式 。 


基于 网 络 的 入 侵 检测 系统 的 探测 器 可 以 按 一 定 的 规则 从 网 络 上 获取 与 安全 事件 相关 的 数据 
包 , 分 析 引 擎 从 探测 器 上 接收 到 的 数据 包 结合 网 络 安全 数据 库 进 行 分 析 , 最 后 把 分 析 的 结果 传递 给 
配置 构造 器 , 配置 构造 器 根据 分 析 引 擎 器 的 结果 构造 出 探测 器 所 需要 的 配置 规则 。 一 旦 检测 到 了 攻 
击 行为 ， 网 络 入 侵 系 统 中 的 响应 模块 就 做 出 响应 ， 比 如 报警 、 切 断 相 关 用 户 的 网 络 连接 等 。 不 同 入 
侵 检测 系统 在 实现 时 采用 的 响应 方式 也 不 同 , 但 通常 都 包括 通知 管理 员 、 切 断 连接 、 记 录 相 关 的 信 
息 等 。 

基于 网 络 入 侵 检测 的 优点 表现 在 : 成 本 低 、 检 测速 度 快 ， 可 以 检测 到 主机 型 检测 系统 检测 不 
到 的 攻击 行为 , 可 以 作用 在 网 络 的 边缘 上 ， 即 攻击 还 没 能 接 入 网 络 时 就 被 制止 ; 不 影响 操作 系统 的 
性 能 ， 不 占用 任何 资源 ;架构 网 络 型 入 侵 检 测 系统 简单 。 其 缺点 是 : 如 果 网 络 流速 高 时 可 能 会 丢失 
许多 数据 包 ， 容 易 让 入 侵 者 有 机 可 乘 ; 无 法 检测 加 密 的 数据 包 ; 无 法 检测 出 直接 对 主机 的 入 侵 。 


17.2.3” 误 用 入 侵 检测 系统 


误 用 检测 (Misuse detection ) 又 称 特征 检测 〈Signature-based detection)， 误 用 入 侵 检测 系统 的 
应 用 是 建立 在 对 过 去 各 种 网 络 入 侵 的 方法 和 系统 缺陷 上 。 它 需 要 建立 一 个 数据 库 , 再 在 各 种 收集 到 
的 网 络 活动 信息 中 寻找 与 数据 库 项 目 相关 的 蛛丝马迹 。 当 符合 条 件 的 信息 被 发 现 后 ,就 会 触发 一 个 


. 493 。 


中 小 型 企业 网 络 管 理 实战 委 典 基于 Windows 平台 


警告 , 即 任何 不 符合 匹配 条 件 的 信息 将 会 被 认为 合法 ， 尽 管 其 中 可 能 包含 隐蔽 入 侵 的 行为 。 所 以 误 
用 检测 系统 具备 较 高 准确 性 ， 但 其 完整 性 则 由 数据 更 新 速度 来 确定 。 
设 定 一 些 入 侵 活 动 的 特征 〈Signature)， 通 过 比较 现在 的 活动 是 否 与 这 些 特征 匹配 来 检测 。 
常用 的 检测 技术 有 如 下 几 种 : 


(1) 专家 系统 : 采用 一 系列 的 检测 规则 分 析 入 侵 的 特征 行为 。 不 同 的 系统 与 设置 具有 不 同 的 
规则 ， 且 规则 之 间 无 通用 性 。 专 家 系统 的 建立 依赖 于 知识 库 的 完备 性 ， 而 知识 库 的 完备 性 又 由 审计 
记录 的 完备 性 与 实时 性 决定 。 入 侵 的 特征 抽取 与 表达 , 是 入 侵 检测 专家 系统 的 关键 。 在 系统 实现 中 ， 
将 有 关 入 侵 的 知识 转化 为 让 then 结构 (也 可 以 是 复合 结构 )， 让 部 分 为 入 侵 特征 ， 而 then 部 分 是 系 
统 防 范 措施 。 运 用 专家 系统 防范 有 特征 入 侵 行为 的 有 效 性 完全 由 专家 系统 知识 库 的 完备 性 决定 。 

(2) 基于 模型 的 入 侵 检测 方法 : 入 侵 者 在 攻击 系统 时 一 般 采 用 一 定 的 行为 序列 ， 如 猜测 口令 
的 行为 序列 。 这 种 行为 序列 构成 了 具有 一 定 行为 特征 的 模型 ,根据 这 种 模型 所 代表 的 攻击 意图 的 行 
为 特征 ， 可 以 实时 检测 出 恶意 的 攻击 。 基 于 模型 的 入 侵 检 测 方法 可 以 只 监测 一 些 主要 的 审计 事件 。 
当 这 些 事件 发 生 后 , 再 开始 记录 详细 的 审计 ， 从 而 减少 审计 事件 处 理工 作 。 这 种 检测 方法 的 优点 是 
可 以 检测 组 合 攻 击 (coordinate attack) 和 多 层 攻击 (multi-stage attack) 两 种 攻击 方式 。 

(3) 简单 模式 匹配 (Pattern Matching ): 基于 模式 匹配 的 入 侵 检 测 方法 将 已 知 入 侵 特 征 编码 成 
为 与 审计 记录 相符 合 模式 。 当 新 审计 事件 产生 时 ， 将 寻找 与 其 相 匹 配 的 已 知 入 侵 模式 。 

(4) 软 计 算 方 法 : 软 计算 方法 包含 了 神经 网 络 、 遗 传 算法 与 模糊 技术 。 


不 难看 出 ， 误 用 入 侵 检 测 系统 的 优点 是 : 具有 非常 高 的 准确 率 ， 同 时 检测 匹配 条 件 可 以 很 清 
楚 地 描述 ， 从 而 有 助 于 网 络 管理 员 采 取 相 应 的 预防 措施 。 一 个 比较 明显 的 缺点 在 于 : 收集 所 有 已 知 
或 发 现 的 攻击 行为 和 系统 脆弱 性 信息 比较 困难 。 


17.2.4 混合 性 入 侵 检测 


主机 型 和 网 络 型 两 种 入 侵 检测 系统 都 有 各 自 的 优 缺 点 ， 而 混和 入 侵 检测 系统 是 基于 主机 和 网 
络 的 入 侵 检测 系统 的 结合 .许多 机 构 的 网 络 安全 解决 方案 都 同时 采用 了 基于 主机 和 基于 网 络 的 两 种 
入 侵 检测 系统 ,因为 这 两 种 系统 在 很 大 程度 上 互补 , 两 种 技术 结合 可 以 大 幅度 提升 网 络 和 系统 面 对 
攻击 和 错误 使 用 时 的 抵抗 力 ， 使 安全 措施 更 加 有 效 。 


17.3 ”项 目 实施 1: 入侵 检 测 系统 工具 实战 


在 了 解 了 什么 是 入 侵 检测 技术 、 入 侵 检 测 的 技巧 和 相关 分 类 后 ， 下 面 再 来 介绍 一 些 具体 使 用 
入 侵 检测 技术 的 范例 ， 从 而 帮助 用 户 更 好 地 保护 计算 机 和 网 络 安全 。 目 前 ， 常 用 的 入 侵 检 测 系统 有 
Sax 入 侵 检测 系统 、BlackICE 入 侵 检测 系统 等 ， 使 用 这 些 系 统 可 以 积极 主动 地 保护 网 络 安全 。 


17.3.1 异常 入 侵 检测 系统 


异常 检测 是 检测 入 侵 者 异常 于 正常 主体 的 活动 。 根 据 这 一 理念 建立 主体 正常 活动 的 【活动 简 
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档 】 将 当前 主体 的 活动 状况 与 【活动 简 档 】 相 比较 ， 当 违反 其 统计 规律 时 ， 认 为 该 活动 可 能 是 【入 
侵 ]】 行为, 即 任何 不 符合 以 往 活动 规律 的 行为 都 将 被 视 为 入 侵 行 为 。 所 以 异常 入 侵 系 统 的 检测 能 力 
是 很 高 的 ， 但 是 要 保证 其 具有 很 高 的 正确 性 就 很 困难 了 。 

统计 方法 是 当前 入 侵 检测 系统 中 常用 的 方法 ， 是 一 种 成 熟 的 入 侵 检测 方法 。 可 以 使 入 侵 检 测 
系统 了 解 到 目标 计算 机 的 日 常 行为 ,将 那些 与 正常 活动 之 间 存 在 较 大 统计 偏差 的 活动 标识 成 为 异常 
活动 。 常 用 的 入 侵 检测 统计 模型 有 如 下 几 种 : 

(1) 操作 模型 ， 该 模型 假设 异常 可 通过 测量 结果 与 一 些 固定 指标 相 比较 得 到 ， 而 固定 指标 可 
根据 经 验 值 或 一 段 时 间 内 的 统计 得 到 ， 如 在 短 时 间 内 多 次 失败 的 登录 可 能 是 口令 尝试 攻击 。 

(2) 方差 : 计算 参数 的 方差 ， 设 定 其 置信 区 间 ， 当 测量 值 超过 置信 区 间 的 范围 时 就 有 可 能 是 
出 现 异 常 。 

(3) 多 元 模型 :操作 模型 的 扩展 ， 通 过 同时 分 析 多 个 参数 实现 检测 。 

(4) 马尔 柯 夫 过 程 模型 ; 将 每 种 类 型 的 事件 定义 为 系统 状态 ， 用 状态 转移 矩阵 来 表示 状态 的 
变化 。 当 一 个 事件 发 生 时 ， 该 状态 矩阵 发 生 转移 的 概率 较 小 的 可 能 是 异常 事件 。 

(5) 时 间 序 列 分 析 : 将 事件 计数 与 资源 耗 用 根据 时 间 排 成 序列 ， 如 果 一 个 新 事件 在 该 时 间 发 
生 的 概率 较 低 ， 则 该 事件 可 能 是 黑客 入 侵 。 


异常 检测 的 优点 表现 在 : 具有 抽象 系统 正常 行为 从 而 检测 系统 异常 行为 的 能 力 。 这 种 能 力 不 
受 系统 是 否 知道 该 种 入 侵 的 限制 ， 所 以 能 够 检测 新 的 入 侵 行为 。 另外， 对 于 合法 用 户 超越 其 权限 的 
违法 行为 的 检测 能 力 大 大 加 强 。 其 缺点 是 : 如 果 入 侵 者 了 解 到 检测 规律 ,就 可 以 小 心地 避免 系统 指 
标的 突变 ， 而 使 用 逐渐 改变 系统 指标 的 方法 逃避 检测 。 另 外 ， 检 测 效率 也 不 高 。 最 重要 的 是 ， 异 常 
检测 是 一 种 【事后 】 检 测 ， 当 检测 到 入 侵 行 为 时 ， 破 坏 早已 经 发 生 了 。 


17.3.2 ”使 用 Sax 入 侵 检 测 系统 


Sax 入 侵 检测 系统 是 一 种 积极 主动 的 网 络 安全 防护 工具 ， 提 供 了 对 内 部 和 外 部 攻击 的 实时 保 
护 , 它 通过 对 网 络 中 所 有 传输 的 数据 进行 智能 分 析 和 检测 ， 从 中 发 现 网 络 或 系统 中 是 否 有 违反 安全 
策略 的 行为 和 被 攻击 的 迹象 ， 在 网 络 系统 受到 危害 之 前 拦截 和 阻止 入 侵 。 


1. 设置 Sax 入 侵 检测 系统 

在 使 用 Sax 入 侵 检 测 系统 来 防护 系统 或 网 络 安全 之 前 ， 还 需要 对 该 软件 的 相关 功能 进行 设置 ， 
以 使 更 好 地 保护 系统 安全 。 

设置 Sax 入 侵 检 测 系统 的 操作 步骤 如 下 。 

tO 人 下 载 并 安装 Sax 入 侵 检测 系统 ,安装 完毕 后 双击 桌面 上 的 快捷 图 标 或 选择 【开始 】>【 所 


有 程序 】>【Sax 入 侵 检 测 系统 】〗 菜 单 命令 ， 打 开 其 主 界面 ， 包 括 按 节点 浏览 、 运 行 状态 以 及 统计 
项 目 3 个 部 分 ， 如 图 17-4 所 示 。 
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文件 FF) 编辑 E) ”视图 NV) 监控) 设置 (5) 帮助 和 技术 支持 人 ) 


时 国 号 内 o 
适配器 选项 安全 第 咯 专家 检测 升级 第 咯 天 
RE 坑 寺 信息 会话 事件 日志， 
A + x [ 鸟 | 圆 国 - 
外 按 物 理 节点 浏览 0) | 


84 
-i27 
126-255 
55 
S12-1023 
1024-1517 


图 17-4 


W022 选择 【监控 】〗 关 【常规 设置 〗】 菜 单 命令 ， 打 开 【 设 置 〗】 对 话 框 ， 如 图 17-5 所 示 ， 在 【 常 
规 设置 〗 选 项 卡 中 可 对 数据 包 缓冲 区 大 小 和 从 驱动 程序 读 取 数 据 包 的 最 大 间隔 时 间 进 行 设置 。 


国富 规 设置 | 名 适配器 设置 
数据 包 组 种 区 的 大 小 : |4096 | 生子 节 kB) 
从 3E 动 程序 读 取 数 据 包 的 最 大 间隔 时 间 : |1000 | (10-1000 座 牧 


默认 设置 D) 


图 17-5 


to3 在 【设置 〗 对 话 框 中 选择 【适配器 设置 〗 选 项 卡 ， 如 图 17-6 所 示 ， 在 该 选项 卡 中 选择 


相应 的 网 卡 ， 因 为 该 检测 系统 是 通过 适配器 来 捕捉 网 络 中 正在 传输 的 数据 ， 并 对 其 进行 分 析 ， 所 以 
正确 选择 网 卡 是 能 够 捕 提 到 入 侵 的 关键 一 步 。 
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国 常 规 设置 可) 适配器 设置 
回 
回 


ttansec L2 Fost Ehemet Convoler Mcrosofts Pocket Schedier) 
Realtek RTLS139/810x Famiy Fast Ethemet NIC 


图 17-6 


0 在 【Sax 入 侵 检 测 系统 〗 主 界面 中 选择 【设置 〗>【 别 名 设置 〗 菜 单 命令 ， 打 开 【 别 名 
设置 〗 对 话 框 ， 如 图 17-7 所 示 ， 在 其 中 可 对 物理 地 址 、IP 地 址 、 端 口 进行 各 种 操作 ， 如 添加 、 编 
辑 、 删 除 、 导 出 等 。 


矶 物理 地 址 | 地 址 | 区 端口 
合 增 加 BES a 
物理 地 址 别名 


There are no items to show. 


图 17-7 


tog 选择 【设置 】>【 安 全 策略 设置 〗 菜 单 命令 或 单 击 工具 栏 中 的 【安全 策略 】〗 按 钮 ， 打 开 
【安全 策略 〗 对 话 框 ， 如 图 17-8 所 示 ， 在 其 中 对 当前 选中 的 策略 进行 相应 的 操作 ， 如 衍生 、 查 看 、 
启用 、 删 除 、 导 入 、 导 出 和 升级 等 。 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 花 于 Windows 平台 


名 称 


团 系 统 策 罩 


图 17-8 


W086] 选择 【设置 】 > 【专家 检测 设置 】 莱 单 命令 或 单 击 工 具 栏 中 的 【专家 检测 】〗 按 钮 ， 打 开 
【专家 检测 设置 】 对 话 框 ,在 其 中 对 网 络 中 的 所 有 通信 数据 进行 专家 级 的 智能 化 的 分 析 ， 并 报告 入 


侵 事 件 ， 如 图 17-9 所 示 。 


臣 轩 ICMP 百 专 rt rp 

5 国 TFIP 严重 程度 人 @ 重要 

TTP GET Honanme overfiow sheng 响应 配置 方案 芭 记 录 日 志 全 省 ) 
文件 长 度 


由 国 DNS 
让 国 FTP_CTRL 基 述 
由 国 FINGER 


Ths eventi generated by an attempt to 
explota buffer overfiow n TFTP fie 
handing routnes. 


Implementation Dependent. Several 
mplementatons of TFTP are vunerable to 


图 17-9 


0 本 选择 【设置 】>【 选 项 】 菜 单 命令 或 单 击 工具 栏 中 的 【选项 】〗 按 钮 打开 【选项 】〗】 对 话 
框 ， 如 图 17-10 所 示 ， 选 择 【 显 示 】〗 功 能 项 ， 在 其 中 对 是 否 启用 物理 地 址 、IP 地 址 和 端口 别名 进行 


设置 。 
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图 17-10 
08) 如 图 17-11 所 示 ， 选 择 【响应 方案 设置 〗】 功 能 项 ， 在 其 中 对 响应 方案 进行 增加 、 删 除 或 


修改 操作 。 系 统 提 供 了 【 仅 记录 日 志 】 了 、【 阻 断 并 记录 日 志 〗】 和 【干扰 并 记录 日 志 】 三 种 默认 的 响 
应 方案 ， 它 们 是 不 能 被 删除 的 ， 但 是 可 以 修改 。 


事件 响应 方案 列表 


ET 
Er 


图 17-11 
9) 单 击 【 增 加 】 或 【修改 】 按 钮 ， 打开 【定义 响应 方案 】〗 对 话 框 ， 如 图 17-12 所 示 ， 在 其 


中 对 响应 方案 进行 具体 设置 ， 包括 名 称 、 响 应 动作 和 阻 断 会 话 方式 (只 有 选择 了 【 阻 断 会 话 】 才 可 
以 设置 阻 断 会 话 方式 ) 。 
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名 称 IN 
123 


响应 动作 的: 

目 主 睫 

加 阻 断 会 话 

辐 发 送 电子 邮件 
发 送 控制 台 消 息 


加 | 
局 运行 外 部 程序 


图 17-12 


加 0 选择 【响应 设置 〗 关 【邮件 】 功 能 项 ， 在 其 中 可 以 对 发 送 邮件 所 使 用 的 服务 器 、 账 号 、 
密码 、 接 收入 (多 个 接收 入 用 分 号 分 隔 ) 和 邮件 正文 进行 设置 ， 如 图 17-13 所 示 。 


| 邮件 
发 闫 邮件 服务 器 (smtpk 
|mal Sanl. comen 


帐号 
|webmasterGsaxicomcn 


密码 : 


邮件 接收 地 址 多 个 地 址 用 分 号 隔 开 上 


|2460762ea0 COM 


地 件 正文 
[SName} 


EE 取消 IC 
图 17-13 


加 和 选择 【响应 设置 〗 关 【发 送 控制 台 消 息 〗】 功 能 项 ， 在 其 中 可 以 对 将 接收 消息 的 目标 主机 


的 卫 地 址 和 消息 正文 (发送 主机 和 接收 主机 必须 安装 【Messenger】〗 服 务 ) 进行 设置 ， 如 图 17-14 
所 示 。 
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发 送 控制 台 消 息 
设置 格 接收 消息 计算 的 |P 地 址 
0 .0.0 .0 用 交 的 
| LE) 
[开除 


图 17-14 


加 2 选择 【响应 设置 〗 关 【运行 外 部 程序 】〗 功 能 项 ， 在 其 中 可 以 对 外 部 程序 的 完整 路 径 和 参 
数 进行 设置 ， 如 图 17-15 所 示 。 


显示 运行 外 部 程序 
响应 方案 管理 
日 局 响应 设置 
他 邮件 
本 发 送 控制 8 消息 。 | 命令 ， [CIWIATEprernexe 
着 医 5 下 机 生计] 
图 名 分 析 模块 
全 各 升级 设置 参政: 


图 17-15 


昌吉 如 图 17-16 所 示 ， 选 择 【 分 析 模块 】 功 能 项 ， 在 其 中 可 以 对 各 个 分 析 模 块 的 参数 进行 个 
性 化 的 设置 ， 如 是 否 启用 该 分 析 模块 ， 检 测 的 端口 ， 日 志 缓冲 区 的 大 小 ， 是 否 保存 日 志 
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呈 WwHOIS 分 析 器 

号 TELNET 分 析 器 
二 NETBI0S 分 析 器 
况 FINGER 分 析 器 


二 NF5 分 析 器 
.Epi 


| 启用 日 志 
日 志 组 冲 区 尺寸 8) 


日 
启用 日 志文 件 
| 日 志文 件 路 径 


[[ 职 滑 口 ] [ 应 用 A 


图 17-16 


因 弛 选择 【策略 升级 设置 〗】 功 能 项 ， 在 其 中 可 以 通过 定时 和 手工 两 种 方式 检测 策略 知识 库 更 
新 Sax 入 侵 检 测 系统 ,并 自动 完整 对 本 地 知识 库 的 更 新 。 如果 选择 自动 更 新 还 必须 设置 更 新 的 日 其 


和 时 间 ， 如 图 17-17 所 示 。 


曙 目 外 
9 WEE 


萨 客 浙 入 侵 检测 可 以 定时 检 竹 第 申 知识 库 更 新 ， 并 自动 安装 它们 


后 自动 推荐 ] 
日 期，| 星 类 三 
4 时 : |10 


人 2H: 13 


RE 


取消 0) | | 应 用 入) 


图 17-17 


型 名 在 所 有 选项 设置 完成 后 ， 单 击 【确定 〗 按 钮 ， 保 存 设置 。 


2. 使 用 Sax 入 侵 检测 系统 


在 对 Sax 入 侵 检测 系统 相关 功能 设置 完成 后 ， 即 可 使 用 该 软件 来 防护 网 络 或 本 机 系统 安全 了 。 


具体 的 使 用 步骤 如 下 。 


0 和 0 在 Sax 入 侵 检测 系统 主 窗口 中 ， 如 图 17-18 所 示 ， 单 击 【开始 】〗 按 钮 或 选择 【监控 〗> 
【开始 】 菜 单 命令 , 在 其 中 可 以 对 本 机 所 在 的 局 域 网 中 的 所 有 主机 进行 监控 , 在 扫描 结果 中 可 对 检 
测 到 的 主机 的 卫 地 址 、 对 应 的 MAC 地 址 、 本 机 的 运行 状态 以 及 数据 包 统 计 、TCP 连接 情况 、FTP 


分 析 等 信息 进行 查看 。 
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昌 | 昌国 过 是 a 
下 停止 “过 和 b 闫 和 项 安全 血路 专 农夫 测 升级 第 咯 加 


ET 
加 于 oo:ma-4420 了 :后 

于 005 2 

于 0c-00 5 如 

一 ora sE-ot O10t 

页 meCIT OT 0 


ot:00 E:T ETA a0.255. 


图 17-18 


02 选择 【会 话 】 选 项 卡 ， 可 以 看 到 在 监控 的 同时 ， 进 行 会 话 的 的 源 卫 地 址 、 源 端口 、 目 标 
IP 地 址 、 目 标 端口 、 使 用 到 的 协议 类 型 、 状 态 、 事 件 、 数 据 包 、 字 节 等 信息 ， 如 图 17-19 所 示 。 
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图 17-19 


tQ3j。 如果 想 分 类 查看 会 话 信息 ， 则 在 【会 话 信 息 】〗 列 表 中 右 击 某 条 信息 ， 在 弹出 的 快捷 菜单 
中 选择 【 按 目标 节点 进行 过 滤 】 选 项 ， 以 按照 某 个 目标 IP 地址 来 显示 会 话 信息 ， 如 图 17-20 所 示 。 
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图 17-20 


四 弛 如 图 17-21 所 示 ， 选 择 【事件 〗】 选 项 卡 ， 在 该 选项 卡 中 可 以 对 分 类 统计 的 各 种 入 侵 事 件 
次 数 、 采 用 日 志 详 细 记 录 的 入 侵 时 间 、 发 起 入 侵 的 计算 机 、 严 重 程度 、 采 用 的 方式 等 信息 进行 查看 。 
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图 17-21 
05) 如 图 17-22 所 示 ， 选 择 【上 日志】 选项 卡 ， 在 其 中 记录 了 HTTP 请求、 收发 邮件 信息 、 
FTP 传输 、MSN 和 QQ 通讯 等 相关 信息 ， 除 了 可 以 对 这 些 信 息 进 行 查看 外 ， 还 可 以 将 其 保存 为 
日 志文 件 。 
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图 17-22 


服务 器 响应 
平均 速度 
持续 时 间 
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图 17-23 
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图 17-24 


8) 在 图 17-24 所 示 【 别 名 】 文 本 框 中 输入 名 称 ， 


W086) 在 【日 志 】 选 项 卡 下 可 自行 定义 日 志 的 显示 格式 , 单 击 【 自 定义 列 】 按 钮 昌 " ( 如 图 17-22 
所 示 ) ， 在 打开 的 快捷 菜单 中 取消 勾 选 相应 的 复 选 框 即 可 ， 如 图 17-23 所 示 。 


0 本 如 图 17-22 所 示 ， 在 左边 的 节点 列表 中 右 击 某 个 物理 地 址 ， 在 弹出 的 快捷 菜单 中 选择 【〖 增 
加 别名 】 选 项 ， 打 开 【 增 加 别名 】〗 对 话 框 ， 如 图 17-24 所 示 。 


然后 单 击 【确定 】〗 按 钮 ， 使 该 物理 地 址 显 
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示 刚 自 定 义 的 名 称 ， 如 图 17-25 所 示 。 


CES 
ET 


ET 2 
Lee ent 582-158.0.5 1953 122-2I2.6.34 
58.209.113.59 
24.226.178.177 


图 17-25 


09 用 户 在 遇 到 不 能 解决 的 问题 时 ， 可 选择 【帮助 和 技术 支持 】〗】 王 【帮助 主题 〗】 菜 单 命令 ， 
在 打开 的 【帮助 〗】 窗 口中 查找 所 需要 的 问题 解答 ， 如 图 17-26 所 示 。 


人 


EETIEDS 


打开 帮助 文档 
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图 17-26 
17.3.3 ”使 用 BlacklCE 入 侵 检 测 系统 


BlackICE Server Protection 软件 (简称 BlackICE) 拥有 强大 的 检测 、 分 析 以 及 防护 功能 ， 可 以 
随时 随地 侦察 出 谁 在 扫描 计算 机 的 端口 ， 而 且 简单 好 用 。 它 可 以 在 入 侵 者 进入 之 前 进行 拦截 ， 以 保 
护 电 脑 不 受 危害 , 同时 , 可 以 收集 入 侵 者 的 人 P 地 址 、 计 算 机 名 称 、 网 络 系统 地 址 、 硬 件 地 址 (MAC 
地 址 ) 等 ， 并 提供 一 个 日 志文 件 ， 是 一 款 卓 越 的 入 侵 检测 系统 。 
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BlackICE 软件 的 安装 过 程 比 其 他 常用 软件 稍微 复杂 一 点 ， 在 安装 该 软件 的 过 程 中 ， 需 要 用 户 
有 一 个 序列 号 才能 继续 进行 安装 。 安 装 入 侵 检 测 系 统 BlackICE 的 具体 操作 步骤 如 下 。 


0 下 载 并 解压 BlackICE 程序 文件 夹 后 ， 双 击 BlackICE 应 用 程序 图 标 ， 弹 出 【欢迎 ISS 
BlackICE 安装 】 对 话 框 ， 如 图 17-27 所 示 。 


ISS BlackICE Setup 


Welcome to the InstallShield Wizard for 
BlackICE Server Protection version 3.6.coa. 


This wizard wilinstal BlackICE Server Prolection on your 
computer. Please close any running applcations. Ifyou 
Use anli-vius software, please Perform a ful scan of your 
‘system and then tum off rea}time vius scanning duing 

BlackICE instalation To continue, chck Next. 


图 17-27 


I02) 单 击 【Next】 (下 一 步 ) 按钮 ， 打 开 【License Agreement】〗 (安装 许可 协议 ) 对 话 框 ， 
在 其 中 可 查看 安装 许可 协议 的 相关 内 容 ， 如 图 17-28 所 示 。 


ISS BlackICE 


License Agreement 
ease icad he folowing cense ogroerent corctuly. 


THIS SOFTWARE Is LICENSED. NOT 5OLD. BY DOWNLOADING OR INSTALUNG THIS SOFTWARE. 
TOU AGREE TOALL OF THE FROWISIONS OF THIS SOFTWARE LICENSE AGREEMENT. IF YOUARE 
NOT WILLING TD BE BOUND BY THIS AGREEMENT DO NOT COMPLETE DOWNLOAD OR 
INSTALLATION. BY CUCRNG ON THE | Accopt 3UTTON, YOU ARE CONSENTINS TO BE BOUND EY 
THESE TERMS AND CONDITIONS WHICH WLL FORM A BINDING AGREEMENT BE TWEEN YOU AND 
INTERNET SECURITY SYSTEMS.INC IFYOU DO NOT AGREE TOALL OF THESE TERMS AND 
DDNDITDNS.CUCK THE I DoNotAccept BUTTON. 


Press the PAGE DOWN key lo see he rest of the ageenert 


[WenetSecwiy Systeme. rc 
SohwareLicanee Agreenert 


Hoth ee nl ET NDS ord Mor Sarp BwINSTA NG. 


ANED BY DWNL RAD MPUMAP DEATIPT DEN TRULHON DE ATL EDPES 
[ND USE ELE OP PETUAN 各 


LICENSEE ACKNOWLEDGES EY DOWNLOADING OR INSTALLING THE SOFTWARE THAT LICENSEE 
HAS AEAD AND UNDERSTANDS THIS AGREEMENT AND AGREES TO BEBOUND BYALLITS TERMS 
NDITI 


mr ] Vonasaa 


图 17-28 


I03) 在 认真 阅读 相关 协议 后 , 单 击 【I Accept】( 我 接受 ) 按 钮 , 打开 【BlackICE Server Protection 
License〗 ( BlackICE 服务 器 防护 许可 证 ) 对 话 框 ， 如 图 17-29 所 示 ， 在 【License〗 (许可 证 ) 文 
本 框 中 输入 相应 版 本 的 序列 号 。 
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ISS BlackICE Setup 


回 
BlackICE Server Protection License G 


Enter the icense key for your instalalion Your cense key is the field labeled Serial Number on 
your Receipt and Proof of Purchase. 


【 


图 17-29 


I04 输入 完成 后 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 打 开 【Choose Destination Location】〗 ( 选 
择 目 的 地 位 置 ) 对 话 框 ， 在 其 中 用 户 可 通过 单 击 【Browse〗 ( 浏览 ) 按钮 根据 实际 需要 更 改 程序 
安装 的 目标 位 置 ， 如 图 17-30 所 示 。 


ISS BlackICE Setup 
Choose Destination Location 
Select folder where Setup wil instal fies 


Setup wil instal BlackICE in the folowing folder 
To install to this folder, clck Next. To install to a diferent folder, clck Browse and select 
another lolder 


Destination Folder 
C:\Program Files\ISS\BlackICE 


图 17-30 


105| 在 选择 好 安装 的 目标 位 置 后 , 单 击 【Next】( 下 一 步 ) 按钮 , 打开 【Select Program Folder】 
(选择 程序 文件 夹 ) 对 话 框 ， 在 其 中 选择 程序 的 安装 文件 夹 ， 如 图 17-31 所 示 。 
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ISS BlackICE Setup 


Select Program Folder 
Please select a program folder 


图 17-31 


06j 选择 完毕 后 , 单 击 【Next】( 下 一 步 ) 按 钮 , 打开 【BlackICE Server Protection Configuration 
(BlackICE 服务 器 保护 配置 ) 〗 对 话 框 ， 如 图 17-32 所 示 ， 在 该 对 话 框 中 用 户 可 以 根据 需要 开启 
或 禁用 AP (Application Protection,， 程序 保护 ) ， 这 里 推荐 大 家 选择 【Off】。 因 为 如 果 选 择 【On】， 
BlackICE 会 在 复制 文件 之 后 对 本 机 进行 扫描 ， 并 记录 下 所 有 可 能 访问 Internet 的 程序 , 这 一 过 程 相 
当 耗 时 。 


ISS BlackICE Setup 


BlackICE Server Protection Configuration 
Select Application Protection Mode 


Poe stem hte oa eH Ee serve feteotion ph poreion Freeen A 
N or 
人 APOF Thisinstals the product with the ful fewal and IDS functionalty you 
previous versions, but the new AP feature is tumed of ey 
ry tne lter metalalion decide you won this extra prolecton, 


广 APDn Thisinstals the product with frewal, IDS. andAP for the highest level of 


you fequenty 
ie or instal now sawae Wes option so equies nicsocton fam you. 


Next > Cancel 
图 17-32 


I0 选择 完毕 后 单 击 【Next】 (下 一 步 ) 按钮 ， 打 开 【Start Copying Files】〗 (开始 复制 文件 ) 
对 话 框 ， 如 图 17-33 所 示 ， 程 序 开始 复制 文件 ， 并 在 下 方 的 【Current Settings〗 ( 当前 设置 ) 区 域 
中 查看 当前 的 软件 的 设置 情况 。 
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ISS BlackICE Setup 


Start Copying Files 
Review settings before copying fles. 


BlackICE Server Protection Installation Parameters 


Cunent Settings: 
[Destination pathe& C:\Program FiesNSS\BlacNCE 
IDestination foder ISS 
lLicense ke FBCFDF2.RSFF363 
alion Protection mode: disabled 


图 17-33 


I08) 查看 完毕 后 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 程 序 自动 开始 安装 ， 并 显示 安装 的 进度 条 。 
安装 完毕 后 ， 将 自动 弹出 【InstallShield Wizard Complete】〗( 安装 向 导 完成 ) 对 话 框 ， 单 击 【Finish】 
(完成 ) 按钮 ， 结 束 整个 安装 过 程 ， 如 图 17-34 所 示 。 


InstallShield Wizard Complete 


BlackICE Setup is amost complele. 


For technical support, emall us a 
support1 @networkice.com 


[T | would wke to view the README fle. 


Cick Finish to complete BlackICE Setup. 


图 17-34 
在 安装 完 BlackICE Server Protection 后 ， 双 击 程序 图 标 ， 即 可 打开 BlackICE Server Protection 
操作 界面 ， 可 看 到 该 界面 为 英文 界面 。 此 时 ， 用 户 可 双击 下 载 的 汉化 包 对 软件 进行 汉化 处 理 ， 具 体 
的 操作 步骤 如 下 。 
td 双击 下 载 的 汉化 包 ， 打 开 BlackICE 汉化 程序 的 【欢迎 使 用 汉化 包 】 对 话 框 ， 如 图 17-35 
所 示 。 
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欢迎 使 用 BlackICE 3.6 cer 个 人 版 和 服务 器 版 通用 汉化 包 
即 格 安装 孔 ackICE 3.6 cor 个 人 版 和 服务 器 版 通用 汉化 包 。 
建议 您 在 维 续 安 装 前 关闭 所 有 其 它 应 用 程序 。 


本 汉化 软件 由 汉化 新 世纪 成 员 吕 达 贬 制作 。 
欢迎 访问 全 球 最 大 的 专业 汉化 网 站 : 汉化 新 世纪 


汉化 新 世纪 下 属 子 站 : 


:http: /frew. hanzify. ore 
1 http://bbs. hanzify. org 


到 Bttp://tesch Manz!fy sre 


http://rss. hanzify. org 


单 击 “ 下 一 步 ”继续 ,或 单 击 “ 职 消 ”退出 安装 程序 。 


图 17-35 


92 单 击 【下 一 步 】 按 钮 打开 【 
安装 方法 ， 如 图 17-36 所 示 。 


安装 - BlackICE 3.6 cor 个 人 版 和 服务 器 版 通用 汉化 包 
信息 
请 在 继续 安装 前 阅读 下 列 重要 信息 . 


加 果 悠 想 继续 安装 ， 单 击 “ 下 一 步 ”。 


a 欢迎 使 用 吕 达 内 的 汉化 软件 a 
不 足 之 处 请 多 多 指教 :-) a 


妆 了 LackICE 3.6 cor 个 人 版 和 服务 器 版 通用 汉化 包 


h 膏 软件 在 九 九 年 歼 得 了 FPC Magarine 的 技术 卓越 大 奖 ， 专 家 对 
| 它 的 评语 是 : “对 于 役 有 防火 墙 的 家 庭 用 户 来 说 ，B1ackICE 是 
一 道 不 可 缺少 的 防线 ; 而 对 于 企业 网 络 ， 它 又 增加 了 一 层 保护 

一 它 并 不 是 要 取代 防火 墙 ， 而 是 阻止 企图 宇 过 防火 墙 的 入 


Erp Pe er re FIDS 


欢迎 访问 汉化 新 世纪 


《上 一 步 0) ]L 下 =- 步 m >] [ 


图 17-36 


息 】 对 话 框 ， 该 对 话 框 中 描述 了 BlackICE 软件 的 概述 及 


tQ3j 阅读 完 此 信息 后 ， 单 击 【下 一 步 】 按 钮 ， 打 开 【 选 择 目标 位 置 〗 对 话 框 ， 如 图 17-37 所 示 。 


安装 - BlackICE 3.6 cor 个 人 版 和 服务 器 版 通用 汉化 包 。 必 ] 


选择 目标 位 置 
得 # BLackICE 3.6 cor 个 人 版 和 服务 器 版 通用 汉化 包 安装 在 什么 地 


| 入 时 类 了 ackICE 3.6 cor 个 人 版 和 服务 器 版 通用 汉化 包 到 
单 击 “ 下 一 步 ” 继续。 如 果 您 起 选择 其 它 文件 夹 ， 单 击 “ 浏 览 ”， 


浏览 


至 少 需要 有 2.3 加 的 可 用 磁盘 空间。 


欢迎 访问 汉化 新 世纪 


《< 上 一 步 ®8) j[ 下 - 步 m >] [取消 


图 17-37 


中 小 型 企业 网 络 管 理 实 战 笃 典 一 一 基于 Windows 平台 


tO 约 程序 默认 的 安装 目标 位 置 为 英文 原版 程序 的 安装 位 置 ， 一 般 没有 特殊 情况 ， 不 需要 做 出 
更 改 。 单 击 【 下 一 步 〗 按 钮 打开 【文件 夹 存 在 】 的 信息 提示 框 ， 提 示 用 户 文件 夹 已 经 存在 ， 是否 
要 安装 到 这 个 文件 夹 ， 如 图 17-38 所 示 。 


9 ) 文件 到 : 
Ci\Program Files\ISS\BlackICE 


已 经 存在 。 您 一 定 要 安装 到 这 个 文件 夹 中 吗 ? 


图 17-38 
tog 单 击 【是 】 按 钮 ， 打 开 【 准 备 安装 】〗 对 话 框 ， 如 图 17-39 所 示 。 


安装 - BlackICE 3.6 cor 个 人 版 和 服务 器 版 通用 汉化 包 寿 | 口 恒 | 
准备 安装 
me 了 ackICE 3.6 cor 个 人 版 和 服务 器 版 通用 汉 又 
| 颖 的 电脑 中 。 B 
音 玉 “ 安 半 ”级 线 此 安装 程序 。 加 果 作 想 要 回 妥 到 疏 亦 设置 请 日 击 “上 一 


目标 位 置 
C:\Program Files\ISS\BlackICE 


图 17-39 


W086] 单 击 【 安 装 〗 按 钮 ， 打 开 【 正 在 安装 〗】 对 话 框 ， 在 其 中 显示 了 汉化 补丁 安装 的 进度 ， 如 
图 17-40 所 示 。 


安装 - BlackICE 3.6 cor 个 人 版 和 服务 器 版 通用 汉化 包 。” 攻 ] 上 D 国 


下 全 版 和 服务 器 版 通 用 汉 
机 和 cor 个 人 | 
名 多 和 3.6 人 务 汉化 包 安装 


正在 解 讨 缩 文件 . 
Ci\Progran Files\ISS\BlackICE\blackice. exe 


图 17-40 


0 稍 等 片刻 ， 安 装 完毕 后 即 可 弹出 【安装 向 导 完 成 】 对 话 框 ， 如 图 17-41 所 示 ， 在 其 中 根 
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据 实际 需要 取消 勾 选 不 必要 的 安装 插件 。 


Re 和 5 cer 个 人 版 和 服务 器 版 通用 汉化 包 


丽人 让 7 BlackICE 3.6 cor 个 人 
单 击 “ 完 成 ”退出 安装 程序 . 

回 运 行 BlackICE 3.6 cor 

口 安装 numv 下 载 加 这 器 

口 安装 上 网 助手 

口 安装 多 多 qm 表情 


图 17-41 
t08j 单 击 【 完 成 】 按 钮 ， 退 出 汉化 补丁 安装 向 导 ， 并 打开 BlackICE 程序 主 界面 ， 可 以 看 到 已 
变 成 中 文 界面 ， 如 图 17-42 所 示 。 


文件 中) 编辑) 查看 WV) 工具 CT) 
事件 | 入侵 者 | 历史 | 


[Inforaationsl] The MeNIEE engiae Res started 事 伯 信息 


关闭 EC) | 帮助 人 


图 17-42 


BlackICE 安装 后 即 可 以 后 台 服 务 的 方式 运行 ， 且 前 端 系统 托盘 中 会 出 现 一 个 相应 的 图 标 ， 双 
击 该 图 标 即 可 打开 BlackICE 的 控制 台 ， 在 其 中 可 以 进行 各 种 报警 和 修改 程序 的 配置 。 
使 用 BlackICE 入 侵 检测 系统 的 操作 步骤 如 下 。 


0 和 在 图 17-42 所 示 的 BlackICE 主 界面 中 ， 选 择 【工具 】〗 六 【编辑 BlackICE 设置 〗 菜 单 命 
令 ， 打 开 【BlackICE 设置 〗 对 话 框 ， 如 图 17-43 所 示 ， 并 切换 到 【防火 墙 】 选 项 卡 ， 在 其 中 设置 
保护 的 规则 和 对 网 络 文件 共享 能 力 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


BlackICE 设置 


通告 | 提示 | 。 应 用 程序 控制 。 | “通讯 控制 
防火 墙 ”| 数据 包 日 志 | 证据 日 志 | | 入侵 检 测 
管理 BLackICE 保护 级 别 和 网 络 文件 共享 能 力 。 


保护 全 别 
他 怀 属 一 切 : 拦 南 所 有 未 经 请 求 而 入 站 的 信息 。 
个 高 度 警惕 : 拦 南 大 名 分 未 经 请 求 而 入 站 的 信息 。 
个 小 心 道 慎 : 拦截 一 些 未 经 请 求 而 入 站 的 信息 。 
个 完全 信任 : 允许 所 有 入 站 的 信息 。 


厅 启用 拦截 
厅 允许 Internet 文件 共享 
厅 区 许 WetBI0s 邻居 


Cue] we | Ew | Ww | 
图 17-43 


02 切换 到 【通告 〗 选 项 卡 ， 如 图 17-44 所 示 ， 在 该 界面 中 的 【事件 通告 〗 区 域 中 对 【可 看 

到 的 指示 〗 和 【可 听 到 的 指示 】 进 行 设置 ， 其 提示 信息 用 红 、 橙 黄 、 黄 和 绿 4 种 颜色 标识 ， 危 险 程 

度 依次 降低 。 在 【更 新 通知 】〗】 设 置 区 域 中 勾 选 【启用 检查 】 复 选 框 ， 以 设置 检查 更 新 的 间隔 天 数 。 
BlackICE 设置 


防火 墙 “| 数据 包 日 志 ”| 证 昨日 志 | 
通关 示 | 。 应 用 


| “入 侵 检测 
提示 程序 控制 。 | 。 通讯 控制 


图 17-44 


93 切换 到 【数据 包 日 志 】 选 项 卡 ， 如 图 17-45 所 示 ， 在 该 界面 中 色 选 【启用 日 志 】 复 选 框 ， 
即 可 对 所 有 系统 信息 日 志文 件 的 前 组、 最 大 大 小 和 文件 的 最 大 数量 进行 设置 。 
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BlackICE 设置 


通知 “| 提示。 | 。 应 用 程序 控制 。 | 。 通讯 控制 
防 炎 墙 数据 包 日 志 | 这 BB 老 | 下滑 | 入 
局 用 记录 所 有 系统 信息 进入 日 志文 件 。 
末 局 用 日 才 
日 志文 件 
文件 前 如 
是 大 大 小 0B) 


文件 的 最 大 数量 to 


图 17-45 


0 切换 到 【提示 】 选 项 卡 ， 如 图 17-46 所 示 ， 在 该 界面 中 通过 勾 选 相应 的 复 选 框 ， 对 检测 
到 可 疑 信息 后 是 否 显示 确认 对 话 框 、 显 示 工 具 提 示 以 及 当 服 务 停止 时 显示 提示 进行 设置 。 
BlackICE 设置 


防火 墙 ”| 数据 包 日 志 | 证 括 日 志 | | “入 侵 检测 
通 此 提示 | 。 应 用 程序 控制 通讯 控制 


管理 用 户 界面 设置 . 


提示 
厢 显示 确认 对 话 


克 显示 工具 提示 


太 当 服 务 停止 时 显示 提示 


图 17-46 


t@g 切换 到 【证 据 日 志 】 选 项 卡 ， 并 勾 选 【启用 日 志 】 复 选 框 ， 即 可 在 其 下 方 设置 从 可 疑 的 
入 侵 者 那里 收集 过 来 的 日 志文 件 的 前 缀 、 最 大 大 小 和 文件 的 最 大 数量 ， 一 般 采 用 默认 设置 ， 如 图 
17-47 所 示 。 


中 小 型 企业 网 络 管 理 实战 全 典 基于 Windows 平台 


| 亚 丰 招 抽 
| 入 吕 竹 币 


通告 失 埃 。 ”| ”应 用 竹 节 过 利 
隔 炎 霹 | 区 项 包 E 志 。。 证 6 老 | 


图 17-47 


to6j 切换 到 【应 用 程序 控制 】〗】 选 项 卡 ， 如 图 17-48 所 示 ， 勾 选 【 启 用 应 用 程序 保护 〗 复 选 框 ， 
即 可 控制 运行 在 该 计算 机 上 的 应 用 程序 或 其 他 进程 。 


6lackICE 设置 


防火 墙 “| 。 娄 气 包 日 志 。 | 证 日 志 | 天 六 | 入 人 检测 
通 首 | 提示 豆 用 程序 控制 。。 | 。 通讯 榨 仙 
控 笛 运行 在 读 计 复 机 上 的 共用 得 序 或 其 地 进程 

厂 局 用 克 用 全 厅 保护 


Cw ] me | _ SRW | Wm 
图 17-48 


0 本 切换 到 【 回 漳 】 选 项 卡 ， 如 图 17-49 所 示 ， 在 该 界面 中 设置 BlackICE 如 何以 及 何 时 定位 
关于 入 侵 者 的 网 络 信息 ， 有 直接 追踪 和 简介 追踪 两 种 方法 。 
通知 提示 
候 k 雹 ”| 梁 二 包 志 “| 证 昌 志 


图 17-49 
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W083) 切换 到 【通讯 控制 〗 选 项 卡 ， 如 图 17-50 所 示 ， 在 其 中 根据 实际 情况 对 来 自 于 该 计算 机 
的 网 络 访问 进行 设置 。 


BlackICE 设置 


防火 墙 “| 数据 包 日 志 | ， 证 拖 日 志 | 。 回 泣 
通 | ”提示 。 ”| ”应 用 程序 控制 


控制 来 自 于 该 计算 机 的 网 络 访问 - 
和 ”局 用 应 用 程序 保护 


图 17-50 


tO9j 切换 到 【入 侵 检测 】 选 项 卡 ， 如 图 17-51 所 示 ， 在 该 界面 中 查看 BlackICE 应 该 信任 或 忽 
略 的 管理 地 址 和 签名 ， 同 时 通过 单 击 【添加 】 按 钮 来 添加 从 报告 中 排除 要 信任 的 地 址 。 
BlackICE 设置 


通 省 | 。 提示 | 应 用 更 序 控制 。 | 。 通讯 榨 制 | 
防火 墙 ”| 数据 包 日 志 ”| 证据 日 志 | 入 侵 检测 


BE: 
lez 168.0.1[ 


要 宴 咯 的 事件 
万 所 有 


Ce |] ws | gew | wm | 
图 17-51 
轩 0) 在 完成 上 述 设置 后 ， 单 击 【 确 定 〗 按 钮 ， 在 【事件 〗 选 项 卡 中 看 到 入 侵 检测 的 效果 即 为 
在 局 域 网 中 另 一 台 计 算 机 对 安装 了 BlackICE 的 计算 机 进行 连接 时 ，BlackICE 立即 监控 到 这 一 连接 
的 情景 。 在 【事件 〗 选 项 卡 中 可 看 到 尝试 连接 计算 机 的 IP 地 址 和 连接 方式 ， 如 图 17-52 所 示 。 


中 小 型 企业 网 络 管 理 实战 室 典 基于 Windows 平台 


BlackICE Server Protection 
文件 中) 编辑 下 )】 查看 W 工具 T) 帮助 00 
事件 | 入 侵 者 | 历史 | 


EE 


EE 
EECETY 


nformati en] The BockICE eneine hs started 事件 信息 


关闭 CE) | 帮助 中 
图 17-52 
型 则 切换 到 【历史 】 选 项 卡 中 ， 在 该 界面 的 图 标 中 可 以 看 到 该 连接 被 认为 是 【可 疑 】〗 的 入 侵 ， 
如 图 17-53 所 示 。 


文件 fF) 编辑 于) 坦 看 9) 工具 CT) 帮助 0D 
事件 | 入侵 者 历史 | 


RE 


| 


下 午 8-29 下 午 8-30 下午 8-31 
星 区 六 星期 日 。 星期 一 


© | Pho 
图 17-53 
总 之 ，BlackICE 在 保护 计算 机 安全 方面 是 非常 精确 可 靠 的 ， 不 过 ， 在 使 用 过 程 中 还 要 及 时 升 
级 软件 ， 以 使 软件 及 时 增加 入 侵 特 征 数据 库 中 的 特征 数据 , 这 样 才能 更 加 有 效 地 过 滤 掉 最 新 的 入 侵 
行为 ， 从 而 保障 计算 机 网 络 系统 的 安全 。 


17.4 项 目 实施 2: 提高 网 站 服务 器 的 安全 性 


在 了 解 了 有 关 入 侵 检测 系统 的 概述 、 分 类 以 及 常用 的 入 侵 检测 系统 工具 外 ， 下 面 再 来 介绍 一 
些 相关 拓展 内 容 。 
17.4.1 检测 网 站 服务 器 承受 的 压力 


随 着 互联 网 的 高 速 发 展 ， 许 多 企 事业 单位 和 个 人 都 有 了 自己 的 网 站 和 服务 器 。 但 由 于 资金 和 
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技术 等 多 方面 原因 ,这些 网 站 的 安全 性 并 不 强 。 网 络 管理 员 要 想 保 证 网 站 服务 器 的 安全 ,就 必须 了 
解 如 何 检测 网 站 服务 器 的 承受 压力 。 使 用 Microsoft Web Application Stress Tool (WAS) 软件 可 以 进 
行 实际 网 站 压力 的 测试 ， 从 而 找 出 系统 潜在 的 问题 。 

1. 检测 网 站 服务 器 承受 的 压力 

在 开始 录制 一 个 脚本 前 ， 需 要 准备 好 浏览 器 ， 清 除 浏览 器 中 的 临时 文件 。 否 则 ，WAS 也 许 不 
能 记录 所 需 的 浏览 器 活动 , 因为 浏览 器 可 能 从 缓冲 区 而 不 是 从 所 请 求 的 服务 器 取得 请 求 页 面 。 具体 
的 操作 步骤 如 下 。 

04 首先 打开 IE 浏览 器 ， 选 择 【 工 具 〗 关 【Intemet 选项 〗 菜 单 命令 ， 打 开 【Internet 选项 】 
对 话 框 ， 如 图 17-54 所 示 。 


ET 


岛 有 记 
风 俱 存在 历 失 记 录 中 的 天 测 K)。 0 本 | [请 聊 历 多 记录 多 


Ww |[ FH... | (BE. | Ww...) 


图 17-54 


W022 切换 到 【常规 】 选 项 卡 下 ， 单 击 【 删 除 文件 】 按 钮 打开 【 是 否 删 除 Internet 临时 文件 
夹 中 的 内 容 】 提 示 框 ， 如 图 17-55 所 示 ， 单 击 【 确 定 】 按 钮 ， 即 可 成 功 删 除 Internet 临时 文件 。 


是 否 删除 Internet 临时 文件 夹 中 的 所 有 内 容 ? 


您 也 可 以 删除 本 地 存储 的 所 有 脱 机 内 容 。 


口 册 院 所 有 脱 税 内 容 jj 
[确定 _] 取消 


图 17-55 
03j 下 载 并 安装 【WAS]〗 软件 ， 选 择 【开始 〗>【 程 序 】>【Microsoft Web Application Stress 
Tool〗>【Microsoft Web Application Stress Tool】 菜 单 命令 ， 启 动 WAS 主 程序 。 由 于 是 第 一 次 运 
行 WAS 程序 ， 将 会 弹出 【Create new script〗 (创建 新 的 脚本 ) 对 话 框 ， 询问 以 何 种 方式 创建 一 个 
新 的 测试 脚本 ， 显 示 如 图 17-56 所 示 。 
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图 17-56 


04 根据 需要 单 击 【Record】〗 (记录 ) 按钮 ， 将 会 弹出 【Browse Recorder 一 Step 1 of 2】 对 话 
框 ， 如 图 17-57 所 示 。 


Eeewa sale betssem sg 
所 Record browser cookit 
[Record the host header 


Ma | cue | caer [Cie ] 


图 17-57 


I05) 义 选 所 有 复 选 框 后 ， 单 击 【Next】〗 (下 一 步 ) 按钮 ， 将 会 弹出 【Browse Recorder 一 Step 
2 of2】 对 话 框 ， 如 图 17-58 所 示 。 


Browser Recorder - Step 2 of 2 


Click Finish to have your browser open so that the record session 
can begin. When done recording click Stop Recording. 


| Einish | 


图 17-58 


06j 单 击 【Finish] 按钮 ，WAS 将 启动 一 个 浏览 器 窗口 ， 在 其 中 可 以 看 到 记录 浏览 器 的 活动 
情况 ， 如 图 17-59 所 示 。 


图 17-59 
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ti 到 同时 WAS 会 被 置 于 记录 模式 ， 并 在 下 浏览 器 的 地 址 栏 里 输入 要 测试 的 网 站 地 址 ， 按 回 
车 键 后 ， 此 时 在 【WAS] 主 窗口 中 即 可 看 到 HTTP 信息 跟随 浏览 活动 而 进行 实时 更 新 ， 如 图 17-60 
所 示 。 


【 Stop Recording 【 Change Group 
〈 停 止 记录 )】 按 钮 (更 改组 )】 按 钮 


图 17-60 
to8j 单 击 【Change Group (更 改组 ) 】 按 钮 打开 【New Group ( 新 组 ) 〗 对 话 框 ， 如 图 17-61 


所 示 。 在 【Group Name (组 名 ) 〗】 文 本 框 中 输入 新 建 组 的 名 称 后 ， 单 击 【 确 定 〗】 按 钮 ， 将 计算 机 
组 的 名 称 更 改 为 刚 设置 的 名 称 。 


17-61 


to9j 当 完 成 了 站 点 浏览 后 ,返回 到 【WAS] 主 窗 口 (如 图 17-60 所 示 ) ， 单 击 【Stop Recording 
(停止 记录 ) 】 按 钮 ， 即 可 终止 记录 并 产生 一 个 新 的 测试 脚本 ， 如 图 17-62 所 示 。 


图 17-62 


-521 。 
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加 0 为 了 能 更 好 地 运行 性 能 测试 ， 还 需要 修改 测试 脚本 的 设置 。 如 图 17-63 所 示 ， 单 击 左边 
的 【Settings〗 (设置 ) 选项 ， 在 右边 窗口 中 打开 【Settings〗 (设置 ) 窗口 。 


Ele ht Suir De Vom iy 


| Plalelnl >lol x| :lslel 下 


图 17-63 


在 其 中 可 以 设置 各 种 脚本 测试 指定 参数 ， 其 各 个 参数 的 具体 作用 如 下 。 

(1) 并 发 连接 数 

【Concurrent Connections】( 并 发 连接 ) 部 分 可 以 指定 【Stress level】 (threads) 的 值 和 【Stress 
multiplier】 (sockets per thread) 来 控制 对 目标 服务 器 的 压力 及 负载 程度 。 其 中 【Stress level】 是 全 部 
客户 端 所 产生 的 Windows NT 线程 的 总 数 。 

(2) 测试 运行 时 间 

【Test Run Time】( 测 试 运行 时 间 〉 是 以 日 、 小 时 、 分 钟 、 秒 来 设 定 总 的 运行 时 间 。 这 主要 取 
决 于 脚本 项 的 预期 反应 时 间 , 测试 程序 的 反应 时 间 越 高 ， 测 试 进行 的 时 间 就 应 该 越 长 ， 以 便 产 生 大 
量 的 数据 。 建 议 运 行 测试 脚本 至 少 若干 分 钟 以 便 产 生 足 够 的 请 求 ， 避 免 变 形 的 测试 结果 。 

(3 ) 挂 起 时 间 

【Suspend】 部 分 是 以 小 时 、 分 钟 、 秒 来 设置 【Warmup】 和 【Cooldown】 时 间 。 其 中 [Warmup】 
时 间 是 初始 化 测试 运行 时 间 ， 在 这 段 时 间 里 不 会 收集 和 计算 性 能 数据 ;而 【Cooldown】 时 间 是 
指定 结束 阶段 的 测试 时 间 ， 也 不 收集 数据 . 【Warmup】 和 【Cooldown】 被 用 于 最 小 化 测试 结果 
的 失真 。 

(4) 带宽 瓶颈 

【Bandwidth】 带宽 ) 是 模拟 从 14.4 Kbps 的 modem 连接 到 T1(15.5Mbps) 的 Local Area Network 
(CLAN) 连 接 的 网 络 带宽 。 这 个 特性 的 最 大 优点 在 于 可 以 支撑 大 量 的 并 发 连接 到 目标 服务 器 。 


是 昌 在 【设置 】 窗 口中 勾 选 【Throttle bandwidth】 复 选 框 ， 在 弹出 的 快捷 莱 单 选择 一 个 代表 
大 多 数 用户 的 连接 吞吐 量 的 带宽 即 可 ， 如 图 17-64 所 示 。 


入 侵 检测 系统 第 /7 章 


Cr 


wl Tu Ts 
wl me el 


Fm rte me 门 二 


Waser eh sm ee 
厅 Sm pe Hatin 

[CT 

Tei mv os rte 


17-64 


加 2 若 想 测试 需要 署名 登录 的 WEB 站 点 时 ，WAS 提供 一 个 USERS 特性 ， 可 用 于 存储 多 个 


用 户 的 用 户 名 、 密 码 和 cookie 信息 。 在 【WAS】 主 窗口 中 选择 【View】 一 【Users】 菜 单 命令 ,看 
到 默认 创建 的 用 户 ， 如 图 17-65 所 示 。 


和 Eile Edt Geripts View Mindoe Melp 
| Ie PIO) | *|elel | 


Dasanlt 


可 Recording.. 上 @ Users 
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加 3 如 图 17-66 所 示 , 单 击 【[Remove All] 按 钮 , 则 可 清除 所 有 的 记录 .在 【Number of new users】 


文本 框 中 输入 想 创建 的 新 用 户 数量 。 在 【Password] 文本 框 中 输入 密码 ， 相 同 的 密码 会 赋值 给 所 有 
用 户 ， 然 后 单 击 【Create〗 (创建 ) 文本 框 中 按钮 ， 创 建新 的 用 户 。 


S023 
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图 17-66 


加 弛 设置 完成 后 ， 选 择 【Scripts】〗 (脚本 ) >【Run】〗 (运行 ) 菜单 命令 ， 开 始 测试 ， 如 图 
17-67 所 示 。 


Running script Wew Recorded Script 


Time Left: 00:00:57 


2. 进行 数据 分 析 


在 测试 网 站 的 承受 压力 后 ， 就 可 以 生成 报告 ， 并 根据 生成 的 报告 进行 分 析 ， 其 具体 操作 步骤 
如 下 。 


to4 在 【WAS] 主 窗口 中 选择 【View】> 【Reports】 菜 单 命令 ， 打 开 【 报 告 〗 窗 口 ， 如 图 
17-68 所 示 。 


. 524 。 
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03 在 左 侧 列表 中 将 展开 相应 的 报告 ， 并 单 击 其 中 的 时 间 ， 可 以 看 到 生成 的 整个 报告 的 内 容 ， 
如 图 17-69 所 示 。 
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tQ3 单 击 时 间 下 面 的 任意 选项 ， 查 看 相应 脚本 报告 的 内 容 ， 例 如 单 击 【OverView]】 选项 ， 
即 可 看 到 该 脚本 对 应 的 报告 ， 如 图 17-70 所 示 。 
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图 17-70 


io 外 可 以 通过 检查 Socket Errors 部 分 ( 如 图 17-70 所 示 ) 是 否 有 任何 与 Socket 有 关 的 错误 ( 值 
不 为 0) 来 判断 网 站 是 否 正常 运行 。 单 击 报告 列表 中 的 【Page Data] 节点 ， 展 开 所 有 项 目 ， 查 看 每 
个 脚本 项 在 右边 窗口 页 面 数据 的 报告， 找 出 出 现 错误 的 项 目 ， 如 图 17-71 所 示 。 


Socket 常见 的 错误 如 下 : 


(1) Connect: 客户 端 不 能 与 服务 器 取得 连接 的 次 数 。 如 果 这 个 值 偏 高 ， 检 查 在 客户 端 与 服务 
器 之 间 产 生 的 任何 潜在 的 错误 。 
(2) Send: 客户 端 不 能 正确 发 送 数据 到 服务 器 的 次 数 。 如 果 这 个 值 偏 高 ， 检 查 服务 器 是 否 正 
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常 工 作 。 在 客户 端 打开 下 浏览 器 ， 然 后 手动 点 击 站 点 页 面 ， 验 证 站 点 是 否 正常 地 工作 。 

(3) Recv: 客户 端 不 能 正确 从 服务 器 接收 数据 的 次 数 。 如 果 这 个 值 偏 高 ， 执 行 和 Send 错误 
相同 的 操作 ， 还 要 检查 一 下 如 果 降低 负载 系数 ， 错 误 是 否 跟着 减少 。 

(4) Timeouts: 超时 的 线程 的 数目 ， 且 随后 就 关闭 了 。 如 果 这 个 值 偏 高 ， 在 客户 端 打开 正 浏 
览 器 , 然后 手工 点 击 站 点 页 面 验证 是 否 即 使 只 有 一 个 用 户 该 程序 也 会 很 慢 , 然后 做 一 个 不 同 负载 系 
数 的 压力 测试 ， 来 查看 程序 的 潜在 特征 。 

通过 不 断 增 减 用 户 数量 和 改变 其 他 参数 测试 ， 可 以 最 大 限度 地 了 解 网 站 程序 和 服务 器 的 承受 
E 力 ， 以 便 在 开始 提供 服务 之 前 限 止 访问 量 及 其 他 参数 ， 保 证 网 站 可 以 正常 运行 。 


17.4.2 ”检测 上 传 文件 的 安全 性 


服务 器 提供 了 多 种 服务 项 目 ， 其 中 上 传 文件 是 其 提供 的 最 基本 的 服务 项 目 。 它 可 以 让 空间 的 
使 用 者 自由 上 传 文件 , 但 是 在 上 传 文件 的 过 程 中 , 很 多 用 户 可 能 会 上 传 一 些 对 服务 器 造成 致命 打击 
的 文件 ， 如 最 常见 的 ASP 木马 文件 。 所 以 网 络 管理 员 必 须 利 用 入 侵 检测 技术 来 检测 网 页 木马 是 否 
存在 ， 以 防止 随时 随地 都 有 可 能 发 生 的 安全 隐患 ， 思 易 ASP 木马 追捕 就 是 一 个 很 好 的 检测 工具 ， 
通过 该 工具 可 以 检测 到 网 站 中 是 否 存在 ASP 木马 文件 。 

下 面 介绍 使 用 思 易 ASP 木马 追捕 来 检测 上 传 文件 是 否 为 木马 的 过 程 , 其 具体 的 操作 步骤 如 下 。 

tOJ 下 载 思 易 ASP 木马 追捕 2.0 源 文件 ， 并 将 asplist2.0.asp 文件 存放 在 IIS 默认 目录 
【C:Imetpub\wwwroot】, 然后 在 【管理 工具 】 窗 口中 双击 【Internet 信息 服务 按钮 , 打开 【Internet 
信息 服务 〗 窗 口 ， 如 图 17-72 所 示 ， 双 击 【 默 认 网 站 】〗 图 标 ， 在 右边 列表 中 即 可 看 到 添加 的 
asplist2.0.asp 文件 并 选中 。 


文件 田 。 换 作 人 可 看 帮助 人 0 


图 17-72 
I0 色 单 击 和 鼠标 右键 ,在 弹出 的 快捷 菜单 中 选择 【浏览 〗 选 项 ,在 下 浏览 器 中 打开 该 网 页 ， 在 
【检查 文件 类 型 〗 后 面 的 文本 框 中 输入 思 易 ASP 木马 追捕 可 以 检查 的 文件 类 型 ， 主 要 包括 : ASP、 
JPG、ZIP 在 内 的 许多 种 文件 类 型 ， 默 认 是 检查 所 有 类 型 。 在 【增加 搜索 自 定义 关键 字 】 文 本 框 中 
输入 确定 ASP 木马 文件 所 包含 的 特征 字符 ， 以 增加 木马 检查 的 可 靠 性 ， 关 键 字 用 “、” 隔 开 ， 如 
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图 17-73 所 示 。 
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to3j 在 【所 在 目录 】〗 中 列 出 了 当前 浏览 器 的 目录 ， 上 面 显示 的 是 该 目录 包含 的 子 目录 ， 下 面 
显示 是 该 目录 的 文件 。 此 时 单 击 目录 列表 中 的 目录 可 以 检查 相应 的 目录 ， 而 单 击 【 回 到 上 级 目录 】 
链接 按钮 即 可 返回 到 当前 目录 的 上 一 级 目录 ， 如 图 17-74 所 示 。 
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ti 外 如 图 17-75 所 示 ， 在 设置 好 【检查 文件 类 型 〗 和 【增加 搜索 自 定义 关键 字 】〗 属 性 后 ， 单 
击 【 确 定 】 按 钮 ， 根 据 设置 进 行 网 页 木马 的 探测 。 
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图 17-75 


W935) 在 【 思 易 ASP 木马 追捕 〗 工 具 中 可 以 查看 目录 下 的 每 一 份 文件 ， 正 常 的 网 页 文件 一 般 不 
会 支持 删除 、 新 建 、 移 动 文件 的 操作 。 如 果 检 测 出 来 的 文件 支持 删除 、 新 建 操作 或 同时 支持 多 种 组 
件 的 调用 ， 则 可 以 确定 该 文件 为 木马 病毒 ， 直 接 删除 即 可 。 


图 17-75 中 各 个 参数 的 含义 如 下 。 


FSO: FSO 组 件 ， 具 有 远程 删除 、 新 建 、 修 改 文件 或 文件 夹 的 功能 ; 
删 : 可 以 在 线 删 除 文件 或 文件 夹 ; 

建 : 可 以 在 线 新 建文 件 或 文件 夹 ; 

移 : 可 以 在 线 移动 文件 或 文件 夹 ; 

流 : 是 否 调 用 Adodb.stream; 

Shell: 是 否 调用 Shell，Shell 是 微软 对 一 些 常用 外 党 操作 函数 的 封装 ; 
WS: 是 否 调 用 WSCIPT 组 件 ; 

XML: 是 否 调 用 XMLHTTP 组 件 ; 

密 : 网 页 源 文 件 是 否 加 密 。 


17.5 ”专家 答疑 


(1) 在 计算 机 中 安装 了 入 侵 检测 系统 ， 为 什么 只 能 监听 到 本 机 的 信息 ? 该 系统 会 不 会 影响 网 
络 速度 呢 ? 

答 : 如 果 只 能 检测 到 本 机 的 信息 ， 则 说 明 本 机 所 处 的 网 络 是 用 交换 机 连接 的 。 如 果 想 要 监控 
局 域 网 中 的 其 他 电脑 的 通信 信息 ， 那 么 需要 增加 一 个 HUB (集线器 ) 或 者 支持 端口 镜像 的 交换 机 。 


中 小 蜡 企 业 网 络 管 理 实战 委 典 基于 Windows 平台 


若是 通过 服务 器 上 网 的 话 ， 也 可 以 直接 把 HUB 或 支持 端口 镜像 的 交换 机 安装 在 服务 器 上 。 在 计算 
机 上 安装 入 侵 检 测 系统 ， 不 会 影响 局 域 网 的 网 速 。 因 为 ,现在 大 多 数 入 侵 检测 系统 都 采用 旁 路 监控 
的 模式 ， 只 对 数据 包 的 拷贝 进行 分 析 。 

(2) 在 计算 机 中 安装 了 Sax 入 侵 检测 系统 ， 为 什么 什么 都 监控 不 到 ? 

答 : 出 现 这 样 的 情况 ， 可 能 与 监听 的 网 卡 有 关 。 打 开 Sax 入 侵 检测 系统 的 【配置 】 界 面 ， 选 
择 【 监 听 设 备 】 下 拉 框 ， 如 果 有 两 个 或 两 个 以 上 的 网 卡 ， 则 检查 现在 选中 的 网 卡 是 不 是 正在 使 用 的 
网 卡 。 如 果 监 听 设备 中 没有 找到 任何 网 卡 或 者 信息 不 正确 , 则 说 明 用 户 安装 的 Sax 入 侵 检测 系统 有 
问题 ， 应 印 载 后 重新 安装 。 如 果 仍 然 看 不 到 网 卡 ， 那 么 有 可 能 该 网 卡 不 支持 该 入 侵 检 测 系统 。 

(3) 入 侵 检测 系统 如 何 与 网 络 中 的 其 他 安全 措施 相配 合 ? 

答 : 在 使 用 入 侵 检 测 系统 的 同时 还 需要 采取 一 些 措施 ， 例 如 建立 不 断 完 善 的 安全 策略 ， 根 据 
不 同 的 安全 要 求 ， 合 理 放 置 防火 墙 ; 使 用 网 络 漏洞 扫描 工具 检查 防火 墙 的 漏洞 ; 使 用 主机 策略 扫描 
工具 以 确保 服务 器 等 关键 设备 的 最 大 安全 性 ; 使 用 入 侵 检测 系统 和 其 他 数据 包 嗅 探 软件 查看 网 络 上 
是 否 存在 入 侵 活 动 ; 使 用 基于 主机 的 入 侵 检测 系统 和 病毒 扫描 软件 对 成 功 的 入 侵 行 为 作 标记 ; 使 用 
网 络 管理 平台 为 可 疑 活动 设置 报警 等 。 


